共有ライブラリのメモリページが複数のプロセスで共有されていることを確認するには？

Question

動的リンカー/ローダーのデバッグ出力は、プログラムがすべて正しい入力ファイルをロードしたことを確認するldため、次のステップはカーネルがメモリーにロードされた物理ページを実際に設定していることを確認することです。victimspylibmyl.sovictimspy

Linux では、カーネルバージョン 2.6.25 から以下を通過できます。pagemapユーザー空間プログラムがカーネルのファイルを読み取ってページテーブルと関連情報を確認できるようにするカーネルのインタフェースです/proc。

2つのプロセスがメモリを共有するかどうかを確認するためにページマッピングを使用する一般的なプロセスは次のとおりです。

両方のプロセスを読み取り、/proc/<pid>/mapsメモリ空間のどの部分がどのオブジェクトにマッピングされているかを確認します。
興味のある地図を選択してください。この場合は、libmyl.so地図がマップされているページを選択してください。
開いている/proc/<pid>/pagemap。これは、pagemapページごとに1つずつ64ビットページマッピング記述子で構成されています。ページアドレスと記述子アドレスのマッピングはpagemap次のとおりです。ページアドレス/ページサイズ*説明者サイズ。調べたいページの記述子を見つけます。
.txtファイルから各ページの64ビット記述子を符号なし整数として読み込みますpagemap。
libmyl.soページ間ページ記述子のビット0〜54のページフレーム番号（PFN）を比較します。 PFN が一致すると、両方のプロセスが同じ物理ページを共有します。victimspy

次のサンプルコードは、pagemapプロセス内でアクセスして印刷する方法を示しています。それを使うdl_iterate_phdr()プロセスのメモリスペースにロードされた各共有ライブラリの仮想アドレスを決定し、そのアドレスを見つけて印刷しpagemapます/proc/<pid>/pagemap。

#define _GNU_SOURCE
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <string.h>
#include <inttypes.h>
#include <sys/stat.h>
#include <fcntl.h>
#include <link.h>
#include <errno.h>
#include <error.h>

#define E_CANNOT_OPEN_PAGEMAP 1
#define E_CANNOT_READ_PAGEMAP 2

typedef struct __attribute__ ((__packed__)) {
    union {
        uint64_t pmd;
        uint64_t page_frame_number : 55;
        struct {
            uint64_t swap_type: 5;
            uint64_t swap_offset: 50;
            uint64_t soft_dirty: 1;
            uint64_t exclusive: 1;
            uint64_t zero: 4;
            uint64_t file_page: 1;
            uint64_t swapped: 1;
            uint64_t present: 1;
        };
    };
} pmd_t;


static int print_pagemap_for_phdr(struct dl_phdr_info *info,
                                  size_t size, void *data)
{
    struct stat statbuf;

    size_t pagesize = sysconf(_SC_PAGESIZE);

    char pagemap_path[BUFSIZ];
    int pagemap;

    uint64_t start_addr, end_addr;

    if (!strcmp(info->dlpi_name, "")) {
        return 0;
    }

    stat(info->dlpi_name, &statbuf);

    start_addr = info->dlpi_addr;
    end_addr = (info->dlpi_addr + statbuf.st_size + pagesize) & ~(pagesize-1);

     printf("\n%10p-%10p %s\n\n",
            (void *)start_addr,
            (void *)end_addr,
            info->dlpi_name);

     snprintf(pagemap_path, sizeof pagemap_path, "/proc/%d/pagemap", getpid());

     if ((pagemap = open(pagemap_path, O_RDONLY)) < 0) {
         error(E_CANNOT_OPEN_PAGEMAP, errno, 
               "cannot open pagemap: %s", pagemap_path);
     }

     printf("%10s %8s %7s %5s %8s %7s %7s\n",
            "", "", "soft-", "", "file /", "", "");
     printf("%10s %8s %7s %5s %11s %7s %7s\n",
            "address", "pfn", "dirty", "excl.",
            "shared anon", "swapped", "present");

     for (unsigned long i = start_addr; i < end_addr; i += pagesize) {
          pmd_t pmd;

          if (pread(pagemap, &pmd.pmd, sizeof pmd.pmd, (i / pagesize) * sizeof pmd) != sizeof pmd) {
              error(E_CANNOT_READ_PAGEMAP, errno,
                    "cannot read pagemap: %s", pagemap_path);
          }

          if (pmd.pmd != 0) {
              printf("0x%10" PRIx64 " %06" PRIx64 " %3d %5d %8d %9d %7d\n", i,
                     (unsigned long)pmd.page_frame_number,
                     pmd.soft_dirty,
                     pmd.exclusive,
                     pmd.file_page,
                     pmd.swapped,
                     pmd.present);
          }
    }

    close(pagemap);

    return 0;
}

int main()
{
    dl_iterate_phdr(print_pagemap_for_phdr, NULL);

    exit(EXIT_SUCCESS);
}

プログラムの出力は次のようになります。

$ sudo ./a.out

0x7f935408d000-0x7f9354256000 /lib/x86_64-linux-gnu/libc.so.6

                      soft-         file /                
   address      pfn   dirty excl. shared anon swapped present
0x7f935408d000 424416   1     0        1         0       1
0x7f935408e000 424417   1     0        1         0       1
0x7f935408f000 422878   1     0        1         0       1
0x7f9354090000 422879   1     0        1         0       1
0x7f9354091000 43e879   1     0        1         0       1
0x7f9354092000 43e87a   1     0        1         0       1
0x7f9354093000 424790   1     0        1         0       1
...

どこ：

addressページの仮想アドレスです
pfnページフレーム番号です
soft-dirty次のような場合に表現してください。ソフトダーティビットページテーブルエントリ（PTE）に設定されます。
excl.ページが排他的にマップされるかどうかを示します。つまり、ページはこのプロセスに対してのみマップされます。
file / shared anonページがファイルページか共有匿名ページかを示します。
swappedページが現在置き換えられているかどうかを示します（present0を意味します）。
presentこのページが現在のプロセス常駐セットに存在するかどうかを示します（ゼロがswapped暗示されています）。

sudo（注：Linux 4.0以降、CAP_SYS_ADMINその機能を持つユーザーのみがPFNを取得できるため、サンプルプログラムを実行しました。Linux /proc/<pid>/pagemap4.2以降、ユーザーにPFNがないとPFNフィールドがクリアされますCAP_SYS_ADMIN。今回の変更は他のメモリ関連の脆弱性を悪用するもっと難しくするためのものです。ハンマー攻撃、PFNによって公開された仮想 - 物理マッピング情報を使用します。 )

サンプルプログラムを複数回実行すると、ページの仮想アドレスを変更する必要があることがわかります。ASLR）、しかし、他のプロセスで使用される共有ライブラリのPFNは、変更されていないままにする必要があります。

libmyl.soPFNとプログラムが一致すると、攻撃コード自体で攻撃が失敗した理由を探し始めます。 PFNが一致しない場合は、ページが共有されるように追加のビットが設定されていない理由についての手がかりを提供できます。ビットvictimspypagemap以下を表示:

present file exclusive state:
   0      0     0      non-present
   1      1     0      file page mapped somewhere else
   1      1     1      file page mapped only here
   1      0     0      anonymous non-copy-on-write page (shared with parent/child)
   1      0     1      anonymous copy-on-write page (or never forked)

(MAP_FILE | MAP_PRIVATE)この文脈では、その領域の書き込み中のコピーページは匿名である。

ボーナス：達成するために頻度ページがマップされ、PFNを使用してページを見つけることができます/proc/kpagecount。このファイルには、PFNでインデックス付けされた各ページがマップされた回数の64ビットカウントが含まれています。

Answer 1