공유 라이브러리의 메모리 페이지가 여러 프로세스에서 공유되는지 확인하는 방법은 무엇입니까?

Question

동적 링커/로더의 디버그 출력은 및 프로그램이 모두 올바른 입력 파일을 로드했음을 ld확인하므로 다음 단계는 커널이 메모리에 로드된 물리적 페이지를 실제로 설정했는지 확인하는 것입니다 .victimspylibmyl.sovictimspy

Linux에서는 커널 버전 2.6.25부터 다음을 통과할 수 있습니다.pagemap사용자 공간 프로그램이 커널의 파일을 읽어 페이지 테이블 및 관련 정보를 검사할 수 있도록 하는 커널의 인터페이스입니다 /proc.

두 프로세스가 메모리를 공유하는지 여부를 확인하기 위해 페이지 매핑을 사용하는 일반적인 프로세스는 다음과 같습니다.

두 프로세스를 모두 읽어 /proc/<pid>/maps메모리 공간의 어느 부분이 어떤 개체에 매핑되는지 확인합니다.
관심 있는 지도를 선택하세요. 이 경우에는 libmyl.so지도가 매핑된 페이지를 선택하세요.
열려 있는 /proc/<pid>/pagemap. 이는 pagemap페이지당 하나씩 64비트 페이지 매핑 설명자로 구성됩니다. 페이지 주소와 설명자 주소 간의 매핑은 pagemap다음과 같습니다.페이지 주소/페이지 크기*설명자 크기. 검사하려는 페이지의 설명자를 찾으세요.
.txt 파일에서 각 페이지의 64비트 설명자를 부호 없는 정수로 읽습니다 pagemap.
libmyl.so페이지 간 페이지 설명자의 비트 0-54에 있는 페이지 프레임 번호(PFN)를 비교합니다 . PFN이 일치하면 두 프로세스 모두 동일한 물리적 페이지를 공유합니다.victimspy

다음 샘플 코드는 pagemap프로세스 내에서 액세스하고 인쇄하는 방법을 보여줍니다. 그것은 사용한다dl_iterate_phdr()프로세스의 메모리 공간에 로드된 각 공유 라이브러리의 가상 주소를 결정한 다음 에서 해당 주소를 찾아 인쇄 pagemap합니다 /proc/<pid>/pagemap.

#define _GNU_SOURCE
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <string.h>
#include <inttypes.h>
#include <sys/stat.h>
#include <fcntl.h>
#include <link.h>
#include <errno.h>
#include <error.h>

#define E_CANNOT_OPEN_PAGEMAP 1
#define E_CANNOT_READ_PAGEMAP 2

typedef struct __attribute__ ((__packed__)) {
    union {
        uint64_t pmd;
        uint64_t page_frame_number : 55;
        struct {
            uint64_t swap_type: 5;
            uint64_t swap_offset: 50;
            uint64_t soft_dirty: 1;
            uint64_t exclusive: 1;
            uint64_t zero: 4;
            uint64_t file_page: 1;
            uint64_t swapped: 1;
            uint64_t present: 1;
        };
    };
} pmd_t;


static int print_pagemap_for_phdr(struct dl_phdr_info *info,
                                  size_t size, void *data)
{
    struct stat statbuf;

    size_t pagesize = sysconf(_SC_PAGESIZE);

    char pagemap_path[BUFSIZ];
    int pagemap;

    uint64_t start_addr, end_addr;

    if (!strcmp(info->dlpi_name, "")) {
        return 0;
    }

    stat(info->dlpi_name, &statbuf);

    start_addr = info->dlpi_addr;
    end_addr = (info->dlpi_addr + statbuf.st_size + pagesize) & ~(pagesize-1);

     printf("\n%10p-%10p %s\n\n",
            (void *)start_addr,
            (void *)end_addr,
            info->dlpi_name);

     snprintf(pagemap_path, sizeof pagemap_path, "/proc/%d/pagemap", getpid());

     if ((pagemap = open(pagemap_path, O_RDONLY)) < 0) {
         error(E_CANNOT_OPEN_PAGEMAP, errno, 
               "cannot open pagemap: %s", pagemap_path);
     }

     printf("%10s %8s %7s %5s %8s %7s %7s\n",
            "", "", "soft-", "", "file /", "", "");
     printf("%10s %8s %7s %5s %11s %7s %7s\n",
            "address", "pfn", "dirty", "excl.",
            "shared anon", "swapped", "present");

     for (unsigned long i = start_addr; i < end_addr; i += pagesize) {
          pmd_t pmd;

          if (pread(pagemap, &pmd.pmd, sizeof pmd.pmd, (i / pagesize) * sizeof pmd) != sizeof pmd) {
              error(E_CANNOT_READ_PAGEMAP, errno,
                    "cannot read pagemap: %s", pagemap_path);
          }

          if (pmd.pmd != 0) {
              printf("0x%10" PRIx64 " %06" PRIx64 " %3d %5d %8d %9d %7d\n", i,
                     (unsigned long)pmd.page_frame_number,
                     pmd.soft_dirty,
                     pmd.exclusive,
                     pmd.file_page,
                     pmd.swapped,
                     pmd.present);
          }
    }

    close(pagemap);

    return 0;
}

int main()
{
    dl_iterate_phdr(print_pagemap_for_phdr, NULL);

    exit(EXIT_SUCCESS);
}

프로그램의 출력은 다음과 유사해야 합니다.

$ sudo ./a.out

0x7f935408d000-0x7f9354256000 /lib/x86_64-linux-gnu/libc.so.6

                      soft-         file /                
   address      pfn   dirty excl. shared anon swapped present
0x7f935408d000 424416   1     0        1         0       1
0x7f935408e000 424417   1     0        1         0       1
0x7f935408f000 422878   1     0        1         0       1
0x7f9354090000 422879   1     0        1         0       1
0x7f9354091000 43e879   1     0        1         0       1
0x7f9354092000 43e87a   1     0        1         0       1
0x7f9354093000 424790   1     0        1         0       1
...

어디:

address페이지의 가상 주소입니다
pfn페이지 프레임 번호입니다
soft-dirty다음과 같은 경우 표현하십시오.부드러운 더티 비트페이지 테이블 항목(PTE)에 설정됩니다.
excl.페이지가 독점적으로 매핑되는지 여부를 나타냅니다. 즉, 페이지가 이 프로세스에 대해서만 매핑됩니다.
file / shared anon페이지가 파일 페이지인지, 아니면 공유 익명 페이지인지를 나타냅니다.
swapped페이지가 현재 교체되었는지 여부를 나타냅니다( present0을 의미).
present이 페이지가 현재 프로세스 상주 세트에 존재하는지 여부를 나타냅니다( swapped0이 암시됨).

sudo(참고: Linux 4.0부터 CAP_SYS_ADMIN해당 기능을 가진 사용자만 에서 PFN을 얻을 수 있기 때문에 예제 프로그램을 실행했습니다 /proc/<pid>/pagemap. Linux 4.2부터 사용자에게 PFN이 없으면 PFN 필드가 지워집니다 CAP_SYS_ADMIN. 이번 변경은 다른 메모리 관련 취약점을 악용하는 것을 더 어렵게 만들기 위한 것입니다.망치 공격, PFN에 의해 노출된 가상-물리 매핑 정보를 사용합니다. )

예제 프로그램을 여러 번 실행하면 페이지의 가상 주소가 변경되어야 함을 알 수 있습니다.ASLR), 그러나 다른 프로세스에서 사용되는 공유 라이브러리의 PFN은 변경되지 않은 상태로 유지되어야 합니다.

libmyl.soPFN과 프로그램이 일치하면 공격 코드 자체에서 공격이 실패한 이유를 찾기 시작합니다 . PFN이 일치하지 않으면 추가 비트가 페이지가 공유되도록 설정되지 않은 이유에 대한 단서를 제공할 수 있습니다. 비트victimspypagemap다음을 표시:

present file exclusive state:
   0      0     0      non-present
   1      1     0      file page mapped somewhere else
   1      1     1      file page mapped only here
   1      0     0      anonymous non-copy-on-write page (shared with parent/child)
   1      0     1      anonymous copy-on-write page (or never forked)

(MAP_FILE | MAP_PRIVATE)이러한 맥락에서 해당 영역의 쓰기 중 복사 페이지는 익명입니다.

보너스:달성하기 위해빈도페이지가 매핑되었으며 PFN을 사용하여 에서 페이지를 찾을 수 있습니다 /proc/kpagecount. 이 파일에는 PFN으로 인덱싱된 각 페이지가 매핑된 횟수에 대한 64비트 카운트가 포함되어 있습니다.

Answer 1