基于編譯器的操作系統(tǒng)內核控制數(shù)據(jù)保護.pdf

1、隨著網(wǎng)絡互聯(lián)、網(wǎng)絡安全技術和各種高級網(wǎng)絡應用技術的飛速發(fā)展，現(xiàn)代操作系統(tǒng)面臨著各種各樣的安全威脅。其中，內核級rootkits由于具有良好的隱蔽性，可以長時間的駐留在被注入的系統(tǒng)內核空間，通常具有系統(tǒng)的最高權限，危害巨大。為了應對這些攻擊，需要對操作系統(tǒng)的內核代碼和內核數(shù)據(jù)進行全面保護。其中，內核代碼和靜態(tài)的內核數(shù)據(jù)由于可以被設置為只讀，并且它們在內存中的位置確定，保護起來相對比較直觀。然而，動態(tài)的內核數(shù)據(jù)由于其無法確定的存放位置和易變

2、性，保護起來難度較大。作為動態(tài)內核數(shù)據(jù)的重要組成部分，內核控制數(shù)據(jù)決定了內核執(zhí)行的整體控制流程，常常成為攻擊者的目標。通過改寫一個控制數(shù)據(jù)（比如函數(shù)返回地址），攻擊者就能夠改變系統(tǒng)原有的控制流程，將其引導到自己的惡意代碼或精心設計的執(zhí)行流程上。
　　為了全面和有效的保護內核控制數(shù)據(jù)，包括函數(shù)指針和函數(shù)返回地址，論文設計并實現(xiàn)了一種基于編譯器的內核控制數(shù)據(jù)保護機制，防御針對操作系統(tǒng)內核控制流程的攻擊。更進一步講，通過修改編譯器，在源

3、代碼編譯階段識別、定位和轉換操作系統(tǒng)內核中與控制數(shù)據(jù)相關的所有指令來實現(xiàn)內核控制數(shù)據(jù)的索引機制。該機制為每個控制數(shù)據(jù)分配一個索引，這個索引指向收集了系統(tǒng)中所有有效跳轉地址的表格的某個單元；通過指令轉換，在進行程序跳轉時，不直接使用控制數(shù)據(jù)，而是利用它所對應的跳轉表格索引去查找跳轉表格，獲得真正有效的跳轉地址來間接執(zhí)行。同時，該機制借助位于操作系統(tǒng)之下的Hypervisor層（如KVM）來保護跳轉表格（例如將存放表格的頁面設置為只讀），從

4、而提供了對內核控制數(shù)據(jù)的保護。
　　為了驗證保護機制，論文基于開源的GCC-4.6.4編譯器－設計并實現(xiàn)了原型系統(tǒng)。原型系統(tǒng)重新編譯了Linux-3.11.1/X86-AMD64版本的內核，提供了對其控制數(shù)據(jù)的保護。原型系統(tǒng)一共修改了內核中35828條direct call指令、2389條indirect call指令、14010條ret指令和1198條mov指令，修改指令總數(shù)為53425條，占原內核指令總數(shù)的8.39％。內核容量