Jądro Linuksa: przykład hakowania wywołań systemowych

Dzięki Stephen, twoje badania były dla mnie pomocne. Miałem jednak kilka problemów, ponieważ próbowałem tego na jądrze 2.6.32 i otrzymałem WARNING: at arch/x86/mm/pageattr.c:877 change_page_attr_set_clr+0x343/0x530() (Not tainted), a następnie jądro OOPS o braku możliwości zapisu na adres pamięci.

Komentarz powyżej wspomnianej linii stwierdza:

// People should not be passing in unaligned addresses

Następujący zmodyfikowany kod działa:

int set_page_rw(long unsigned int _addr)
{
    return set_memory_rw(PAGE_ALIGN(_addr) - PAGE_SIZE, 1);
}

int set_page_ro(long unsigned int _addr)
{
    return set_memory_ro(PAGE_ALIGN(_addr) - PAGE_SIZE, 1);
}

Zauważ, że to nadal nie ustawia strony jako odczyt/zapis w niektórych sytuacjach. Funkcja static_protections(), która jest wywoływana wewnątrz set_memory_rw(), usuwa flagę _PAGE_RW, Jeśli:

Jest w obszarze BIOS-u Adres jest w środku .rodata
• CONFIG_DEBUG_RODATA jest ustawione, a jądro jest ustawione na tylko do odczytu

Odkryłem to po debugowaniu, dlaczego wciąż mam "nie mogę obsłużyć żądania stronicowania jądra", gdy próbuję zmodyfikować adres funkcji jądra. W końcu udało mi się rozwiązać ten problem, znajdując wpis w tabeli strony dla adresu osobiście i ręcznie ustawiając go na zapisywalny. Na szczęście, funkcja lookup_address() jest eksportowana w wersji 2.6.26+. Oto kod, który napisałem, aby to zrobić:

void set_addr_rw(unsigned long addr) {

    unsigned int level;
    pte_t *pte = lookup_address(addr, &level);

    if (pte->pte &~ _PAGE_RW) pte->pte |= _PAGE_RW;

}

void set_addr_ro(unsigned long addr) {

    unsigned int level;
    pte_t *pte = lookup_address(addr, &level);

    pte->pte = pte->pte &~_PAGE_RW;

}

Wreszcie, chociaż odpowiedź marka jest technicznie poprawna, to będzie problem, gdy zostanie uruchomiony w Xen. Jeśli chcesz wyłączyć write-protect, użyj funkcji cr0 do odczytu/zapisu. I makro je tak:

#define GPF_DISABLE write_cr0(read_cr0() & (~ 0x10000))
#define GPF_ENABLE write_cr0(read_cr0() | 0x10000)

Zauważ, że następujące działania będą również działać zamiast używania change_page_attr i nie mogą być zamortyzowane:

static void disable_page_protection(void) {

    unsigned long value;
    asm volatile("mov %%cr0,%0" : "=r" (value));
    if (value & 0x00010000) {
            value &= ~0x00010000;
            asm volatile("mov %0,%%cr0": : "r" (value));
    }
}

static void enable_page_protection(void) {

    unsigned long value;
    asm volatile("mov %%cr0,%0" : "=r" (value));
    if (!(value & 0x00010000)) {
            value |= 0x00010000;
            asm volatile("mov %0,%%cr0": : "r" (value));
    }
}

Jeśli masz do czynienia z jądrem 3.4 i nowszym (może też działać z wcześniejszymi jądrami, nie testowałem go) polecam mądrzejszy sposób na pozyskanie lokalizacji wywołania systemowego.

Na przykład

#include <linux/module.h>
#include <linux/kallsyms.h>

static unsigned long **p_sys_call_table;
/* Aquire system calls table address */
p_sys_call_table = (void *) kallsyms_lookup_name("sys_call_table");

W ten sam sposób możesz użyć nie wyeksportowanej funkcji jądra z twojego modułu:

static int (*ref_access_remote_vm)(struct mm_struct *mm, unsigned long addr,
                void *buf, int len, int write);
ref_access_remote_vm = (void *)kallsyms_lookup_name("access_remote_vm");