在线色欧美三级视频,久久亚洲精华国产精华液,国产偷亚洲偷欧美偷精品

摘要
Kernel rootkit通過修改控制數(shù)據(jù)或者內(nèi)核中的鉤子而劫持控制流，從而隱藏自己的存在。因此保護(hù)這些鉤子函數(shù)成為一個(gè)關(guān)鍵問題（引出出問題了）。但是有許多從內(nèi)核堆中動(dòng)態(tài)分配的鉤子，并且與其它內(nèi)核數(shù)據(jù)混在一起，這造成了很多難度。另外，缺少靈活的商業(yè)硬件支持，造成了所謂的保護(hù)粒度溝（內(nèi)核鉤子的保護(hù)要求byte級(jí)別的粒度，但是商業(yè)硬件只支持頁級(jí)別的保護(hù)）。
為解決這些問題，本文提出了HookSafe的概念，基于hypervisor的輕量級(jí)的系統(tǒng)，可以保護(hù)guestOS中幾千個(gè)內(nèi)核鉤子免遭劫持。我們方法的一個(gè)關(guān)鍵點(diǎn)是我們觀察到一個(gè)內(nèi)核鉤子，一旦初始化，可能會(huì)頻繁的進(jìn)行讀訪問，但極少進(jìn)行寫訪問。這樣，我們可以分配這些內(nèi)核鉤子到一個(gè)專用的頁對(duì)齊的內(nèi)存空間，然后使用基于頁面的保護(hù)管理對(duì)鉤子的訪問。我們開發(fā)了一個(gè)HookSafe的原型并用其保護(hù)了geustlinux的5900多個(gè)內(nèi)核鉤子。而使用了9個(gè)rootkit的實(shí)驗(yàn)證明了HookSafe可以有效的抵御內(nèi)核鉤子劫持，并且開銷很小（只有6%的性能下降怎么算出來的……）。

Introduction
之前對(duì)于rootkit的防御的研究可以粗略分拆成3類：
1. 例如Panorama，HookFinder，K-Tracer和PokeR等重點(diǎn)分析rootkit行為。
2. 通過檢測rootkit感染后特定癥狀來監(jiān)控rootkit的工具，如Coilot，SBCFI，VMwatchter等。
3. SecVisor，Patagonix和NICKLE等通過組織惡意rootkit代碼的執(zhí)行來保持內(nèi)核代碼的完整性，但這種防御可以通過return-oriented的rootkit【11】來繞過：首先修改內(nèi)核控制流（如劫持函數(shù)指針或者返回堆棧的地址），然后發(fā)動(dòng)攻擊。

從上面可以看出，除了保護(hù)內(nèi)核代碼的完整性，保護(hù)相關(guān)內(nèi)核控制數(shù)據(jù)以保證內(nèi)核控制流的完整性也是很重要的。
本文中，如果內(nèi)核數(shù)據(jù)在kernel的執(zhí)行過程中的某個(gè)點(diǎn)被裝入了PC寄存器，那么該內(nèi)核數(shù)據(jù)就被當(dāng)做控制數(shù)據(jù)。
有兩種主要的內(nèi)核控制數(shù)據(jù)：返回地址和函數(shù)指針
返回地址的研究已經(jīng)很多，而我們的工作主要集中于保護(hù)函數(shù)指針
在本文中 function pointers = kernel hook

之前的方法：
為保護(hù)kernel hook，一個(gè)直覺上的方法是利用硬件的頁面保護(hù)機(jī)制，任何的對(duì)于包含kernel hook的寫指令都會(huì)被監(jiān)控。這個(gè)方法，如果只有很少的kernel hook并且這些hook都沒有跟經(jīng)常修改的內(nèi)存數(shù)據(jù)位于一起，可以工作的很好。但在Linux或Windows中，存在著幾千個(gè)hook，并且這些kernel hook分布在整個(gè)內(nèi)核空間。而且許多kernel hook可能從內(nèi)核堆中動(dòng)態(tài)分配，并跟其他的可寫入的內(nèi)核數(shù)據(jù)位于同一個(gè)物理內(nèi)存頁面上。因此上面的方法不可行。

本文的方法：
基于hypervisor，我們提出一個(gè)基本的challenge，命名為protection granularity gap，硬件提供頁面級(jí)別的保護(hù)，而我們需要的是byte級(jí)別的粒度。為解決這個(gè)challenge，我們觀察到，kernel hooks，一旦初始化，基本上不會(huì)再改變它的值。這啟發(fā)了我們將kernel hooks放到一個(gè)指定的頁對(duì)齊的內(nèi)存中，引入一個(gè)很薄的hook indirection 層次，來管理對(duì)所有的hook的訪問通過物理的頁面保護(hù)機(jī)制。

Problem Overview
rootkit分為KOH和DKOM兩類，96%的KOH：劫持kernel的控制流通過劫持代碼hook或者數(shù)據(jù)hook【31，32】。Code hook是文本段，比較方便保護(hù)。Kernel data hook通常都是函數(shù)指針，存放于兩個(gè)內(nèi)存區(qū)域中，一個(gè)是動(dòng)態(tài)分配的內(nèi)存區(qū)域如內(nèi)核的堆，另一個(gè)是預(yù)先分配的內(nèi)存區(qū)包括數(shù)據(jù)段，bss段和內(nèi)核引導(dǎo)區(qū)中。HookSafe保護(hù)這兩塊內(nèi)存區(qū)域

使用QEMU分析了Ubuntu8.04，證明了protection granularity gap的存在。找到5881個(gè)kernel hook，分布在41個(gè)物理頁面上。并統(tǒng)計(jì)了內(nèi)存頁面寫的次數(shù)與觸發(fā)hook寫的次數(shù)的比率。結(jié)果為1%

本文中假設(shè)系統(tǒng)有一個(gè)可信根，例如tboot（信任鏈？）。使用這個(gè)可信根，可以安全的裝入hypervisor，確保guest系統(tǒng)的完整性。同時(shí)假設(shè)運(yùn)行時(shí)hypervisor也是完整的。本文不考慮對(duì)于hypervisor的攻擊，如SMM【14】等。

HookSafe Design
為提高性能，對(duì)hook的讀和寫的操作分開對(duì)待，以提高性能，讀操作在guestOS內(nèi)部完成，減少了一次內(nèi)存拷貝。

整個(gè)hooksafe分為兩步：離線統(tǒng)計(jì)和在線檢查
1. Offline hook profiling為每一個(gè)受保護(hù)的hook找到HAP集合（HAP就是訪問kernel hook的哪些指令），使用了QEMU。受保護(hù)的hook集合通過對(duì)兩個(gè)內(nèi)存區(qū)的如何掃描得到：每4byte檢查一次，如果只想某個(gè)內(nèi)核函數(shù)的首地址，則認(rèn)為是一個(gè)hook
2. Online Hook protection：

2. ??????  Online Hook protection ：

3. ??????

?

a. ?  啟動(dòng)：為受保護(hù)的 kernel hook 分配空的內(nèi)存區(qū)，將 kernel hooks 從原來的位置拷貝到新的區(qū)域吧（原來的代碼還要保留，以方便代碼的返回，相當(dāng)于多使用了一塊內(nèi)存）。 HAP 要繞過原來的位置，轉(zhuǎn)到新的 shadow memory copy 中

b. ?  運(yùn)行時(shí)讀寫的攔截：為校驗(yàn)寫數(shù)據(jù)的合法性，要求寫入的值必須在采樣過程中出現(xiàn)過（可見采樣過程需要大量的數(shù)據(jù)）

c. ?  運(yùn)行時(shí)對(duì)動(dòng)態(tài)分配的 hook 的跟蹤：動(dòng)態(tài)的 hook 基本上都位于動(dòng)態(tài)分配的內(nèi)核對(duì)象中，而內(nèi)核對(duì)象的分配時(shí)使用 slab 來進(jìn)行的，只要監(jiān)控對(duì) slab 的分配和 free 就好。另外一個(gè) challenge 是在 HookSafe 運(yùn)行前，就已經(jīng)有對(duì)象動(dòng)態(tài)分配了，但是任何動(dòng)態(tài)分配的 object 都必須能以某種方式進(jìn)行訪問，這樣來跟蹤已經(jīng)分配的 object 。

d. ?  硬件寄存器的保護(hù)：保護(hù) GDT 和 LDT ，以及 DMA

實(shí)現(xiàn)：

1. ??????  Offline Hook Profiler ：標(biāo)記，監(jiān)控訪問 hook 的指令并記錄其值，利用了 QEMU 的二進(jìn)制翻譯技術(shù)，添加了自己的監(jiān)控代碼。

2. ??????  Hook 轉(zhuǎn)向：替換找到的 HAP 指令，用 jmp 指令來代替。在 shadow memory 中處理完后，跳轉(zhuǎn)回去原來的指令流執(zhí)行。

a. ?  指令的替換有些問題（ X86 的指令長度是不定的）： jmp 指令取 5byte 的長度，但原來的指令可能大于 5byte ，也可能小于 5byte ，這樣不能直接在原指令中進(jìn)行替換進(jìn)行跳轉(zhuǎn)（可能會(huì)覆蓋后面的指令，而后面調(diào)回來執(zhí)行需要后面的指令），采用了這樣一種方式：將原來的函數(shù)轉(zhuǎn)化成的二進(jìn)制指令代碼拷貝一份新的并在新的上面修改，而原指令開頭部分也修改一下，指向新指令的起始位置，這樣不會(huì)對(duì)原來的指令造成破壞。

3. ??????  運(yùn)行時(shí) LKM 和 Hook 的跟蹤

監(jiān)控兩個(gè) slab 分配函數(shù)。在這兩個(gè)函數(shù)返回前，看分配的 slab 是不是指定的對(duì)象。

challenge ：如何精確定位 hooks 的地址。

解決： hooks 在 LKM 中的相對(duì)偏移量是固定的，只要找到 LKM 的 base address 就好。問獲得 LKM 的基地址，利用了 virtual machine introspection 【 10 ， 23 ， 26 】技術(shù)。

4. ??????  內(nèi)存保護(hù)

5. ??????  系統(tǒng)調(diào)用轉(zhuǎn)向優(yōu)化

DISCUSSION

這種方法的采樣集的獲得是最大的問題，如何得到完整的采樣集

可以與目前的靜態(tài)方法相結(jié)合

相關(guān)工作

1. ??????  Kernel rootkit prevention ： SecVisor 【 26 】使用硬件方法保護(hù)代碼完整性。 Patagonix 也利用 hypervisor 檢測二進(jìn)制指令。 Lares 是跟本文最相關(guān)的工作。

2. ??????  Kernel Rootkit Dection ：檢測 rootkit 是否出現(xiàn)

3. ??????  Kernel Rootkit Analysis ：采樣 rootkit 的行為模式

CSS09-Countering Kernel Rootkits with Lightweight Hook Protection

更多文章、技術(shù)交流、商務(wù)合作、聯(lián)系博主

微信掃碼或搜索：z360901061

微信掃一掃加我為好友

QQ號(hào)聯(lián)系： 360901061

您的支持是博主寫作最大的動(dòng)力，如果您喜歡我的文章，感覺我的文章對(duì)您有幫助，請(qǐng)用微信掃描下面二維碼支持博主2元、5元、10元、20元等您想捐的金額吧，狠狠點(diǎn)擊下面給點(diǎn)支持吧，站長非常感激您！手機(jī)微信長按不能支付解決辦法：請(qǐng)將微信支付二維碼保存到相冊(cè)，切換到微信，然后點(diǎn)擊微信右上角掃一掃功能，選擇支付二維碼完成支付。

【本文對(duì)您有幫助就好】元

2元

5元

10元

20元

自定義

日韩久久久精品,亚洲精品久久久久久久久久久,亚洲欧美一区二区三区国产精品 ,一区二区福利