亚洲成在人色婷婷,久久精品视频免费观看,午夜精品久久久久久久

摘要
Kernel rootkit通過修改控制數據或者內核中的鉤子而劫持控制流，從而隱藏自己的存在。因此保護這些鉤子函數成為一個關鍵問題（引出出問題了）。但是有許多從內核堆中動態分配的鉤子，并且與其它內核數據混在一起，這造成了很多難度。另外，缺少靈活的商業硬件支持，造成了所謂的保護粒度溝（內核鉤子的保護要求byte級別的粒度，但是商業硬件只支持頁級別的保護）。
為解決這些問題，本文提出了HookSafe的概念，基于hypervisor的輕量級的系統，可以保護guestOS中幾千個內核鉤子免遭劫持。我們方法的一個關鍵點是我們觀察到一個內核鉤子，一旦初始化，可能會頻繁的進行讀訪問，但極少進行寫訪問。這樣，我們可以分配這些內核鉤子到一個專用的頁對齊的內存空間，然后使用基于頁面的保護管理對鉤子的訪問。我們開發了一個HookSafe的原型并用其保護了geustlinux的5900多個內核鉤子。而使用了9個rootkit的實驗證明了HookSafe可以有效的抵御內核鉤子劫持，并且開銷很小（只有6%的性能下降怎么算出來的……）。

Introduction
之前對于rootkit的防御的研究可以粗略分拆成3類：
1. 例如Panorama，HookFinder，K-Tracer和PokeR等重點分析rootkit行為。
2. 通過檢測rootkit感染后特定癥狀來監控rootkit的工具，如Coilot，SBCFI，VMwatchter等。
3. SecVisor，Patagonix和NICKLE等通過組織惡意rootkit代碼的執行來保持內核代碼的完整性，但這種防御可以通過return-oriented的rootkit【11】來繞過：首先修改內核控制流（如劫持函數指針或者返回堆棧的地址），然后發動攻擊。

從上面可以看出，除了保護內核代碼的完整性，保護相關內核控制數據以保證內核控制流的完整性也是很重要的。
本文中，如果內核數據在kernel的執行過程中的某個點被裝入了PC寄存器，那么該內核數據就被當做控制數據。
有兩種主要的內核控制數據：返回地址和函數指針
返回地址的研究已經很多，而我們的工作主要集中于保護函數指針
在本文中 function pointers = kernel hook

之前的方法：
為保護kernel hook，一個直覺上的方法是利用硬件的頁面保護機制，任何的對于包含kernel hook的寫指令都會被監控。這個方法，如果只有很少的kernel hook并且這些hook都沒有跟經常修改的內存數據位于一起，可以工作的很好。但在Linux或Windows中，存在著幾千個hook，并且這些kernel hook分布在整個內核空間。而且許多kernel hook可能從內核堆中動態分配，并跟其他的可寫入的內核數據位于同一個物理內存頁面上。因此上面的方法不可行。

本文的方法：
基于hypervisor，我們提出一個基本的challenge，命名為protection granularity gap，硬件提供頁面級別的保護，而我們需要的是byte級別的粒度。為解決這個challenge，我們觀察到，kernel hooks，一旦初始化，基本上不會再改變它的值。這啟發了我們將kernel hooks放到一個指定的頁對齊的內存中，引入一個很薄的hook indirection 層次，來管理對所有的hook的訪問通過物理的頁面保護機制。

Problem Overview
rootkit分為KOH和DKOM兩類，96%的KOH：劫持kernel的控制流通過劫持代碼hook或者數據hook【31，32】。Code hook是文本段，比較方便保護。Kernel data hook通常都是函數指針，存放于兩個內存區域中，一個是動態分配的內存區域如內核的堆，另一個是預先分配的內存區包括數據段，bss段和內核引導區中。HookSafe保護這兩塊內存區域

使用QEMU分析了Ubuntu8.04，證明了protection granularity gap的存在。找到5881個kernel hook，分布在41個物理頁面上。并統計了內存頁面寫的次數與觸發hook寫的次數的比率。結果為1%

本文中假設系統有一個可信根，例如tboot（信任鏈？）。使用這個可信根，可以安全的裝入hypervisor，確保guest系統的完整性。同時假設運行時hypervisor也是完整的。本文不考慮對于hypervisor的攻擊，如SMM【14】等。

HookSafe Design
為提高性能，對hook的讀和寫的操作分開對待，以提高性能，讀操作在guestOS內部完成，減少了一次內存拷貝。

整個hooksafe分為兩步：離線統計和在線檢查
1. Offline hook profiling為每一個受保護的hook找到HAP集合（HAP就是訪問kernel hook的哪些指令），使用了QEMU。受保護的hook集合通過對兩個內存區的如何掃描得到：每4byte檢查一次，如果只想某個內核函數的首地址，則認為是一個hook
2. Online Hook protection：

2. ??????  Online Hook protection ：

3. ??????

?

a. ?  啟動：為受保護的 kernel hook 分配空的內存區，將 kernel hooks 從原來的位置拷貝到新的區域吧（原來的代碼還要保留，以方便代碼的返回，相當于多使用了一塊內存）。 HAP 要繞過原來的位置，轉到新的 shadow memory copy 中

b. ?  運行時讀寫的攔截：為校驗寫數據的合法性，要求寫入的值必須在采樣過程中出現過（可見采樣過程需要大量的數據）

c. ?  運行時對動態分配的 hook 的跟蹤：動態的 hook 基本上都位于動態分配的內核對象中，而內核對象的分配時使用 slab 來進行的，只要監控對 slab 的分配和 free 就好。另外一個 challenge 是在 HookSafe 運行前，就已經有對象動態分配了，但是任何動態分配的 object 都必須能以某種方式進行訪問，這樣來跟蹤已經分配的 object 。

d. ?  硬件寄存器的保護：保護 GDT 和 LDT ，以及 DMA

實現：

1. ??????  Offline Hook Profiler ：標記，監控訪問 hook 的指令并記錄其值，利用了 QEMU 的二進制翻譯技術，添加了自己的監控代碼。

2. ??????  Hook 轉向：替換找到的 HAP 指令，用 jmp 指令來代替。在 shadow memory 中處理完后，跳轉回去原來的指令流執行。

a. ?  指令的替換有些問題（ X86 的指令長度是不定的）： jmp 指令取 5byte 的長度，但原來的指令可能大于 5byte ，也可能小于 5byte ，這樣不能直接在原指令中進行替換進行跳轉（可能會覆蓋后面的指令，而后面調回來執行需要后面的指令），采用了這樣一種方式：將原來的函數轉化成的二進制指令代碼拷貝一份新的并在新的上面修改，而原指令開頭部分也修改一下，指向新指令的起始位置，這樣不會對原來的指令造成破壞。

3. ??????  運行時 LKM 和 Hook 的跟蹤

監控兩個 slab 分配函數。在這兩個函數返回前，看分配的 slab 是不是指定的對象。

challenge ：如何精確定位 hooks 的地址。

解決： hooks 在 LKM 中的相對偏移量是固定的，只要找到 LKM 的 base address 就好。問獲得 LKM 的基地址，利用了 virtual machine introspection 【 10 ， 23 ， 26 】技術。

4. ??????  內存保護

5. ??????  系統調用轉向優化

DISCUSSION

這種方法的采樣集的獲得是最大的問題，如何得到完整的采樣集

可以與目前的靜態方法相結合

相關工作

1. ??????  Kernel rootkit prevention ： SecVisor 【 26 】使用硬件方法保護代碼完整性。 Patagonix 也利用 hypervisor 檢測二進制指令。 Lares 是跟本文最相關的工作。

2. ??????  Kernel Rootkit Dection ：檢測 rootkit 是否出現

3. ??????  Kernel Rootkit Analysis ：采樣 rootkit 的行為模式

CSS09-Countering Kernel Rootkits with Lightweight Hook Protection

更多文章、技術交流、商務合作、聯系博主

微信掃碼或搜索：z360901061

微信掃一掃加我為好友

QQ號聯系： 360901061

您的支持是博主寫作最大的動力，如果您喜歡我的文章，感覺我的文章對您有幫助，請用微信掃描下面二維碼支持博主2元、5元、10元、20元等您想捐的金額吧，狠狠點擊下面給點支持吧，站長非常感激您！手機微信長按不能支付解決辦法：請將微信支付二維碼保存到相冊，切換到微信，然后點擊微信右上角掃一掃功能，選擇支付二維碼完成支付。

【本文對您有幫助就好】元

2元

5元

10元

20元

自定義

亚洲免费在线-亚洲免费在线播放-亚洲免费在线观看-亚洲免费在线观看视频-亚洲免费在线看-亚洲免费在线视频