基于被动拦截的内核模块保护机制

摘要

由于内核模块的广泛应用，内核模块的异常处理成为重要的系统安全环节。本文介绍了一款Linux环境下基于被动拦截的内核模块自动保护机制。该机制支持内核单独监控一个模块，当此模块内部发生致命的段错误时，它能保证模块可以安全的卸载，并且内核数据不会遭到破坏。针对现有类似机制的不足，该机制既不要求用户对被监控模块的代码进行手动的修改，也不要求计算机硬件进行额外的支持。另一方面，该机制能够更好的处理内核模块出现异常之后的善后工作，以及更好的保证内核的完整性和一致性。本文将着重介绍该机制的设计思路，并提出一个使用该机制的原型系统ModInspector。
　　 本文主要完成了以下三方面的工作：
　　 1．概要地回顾了内核模块保护领域的现状，介绍了现有的技术和各种应用领域。内核模块保护领域是一个十分活跃的领域，有大量的文献涌现。比较遗憾的是，现有的内核模块保护技术在适用难度、对模块行为的监控以及处理模块的卸载方面都有各种缺陷。
　　 2．提出了基于被动拦截的内核模块保护机制，并从内核模块监视以及模块异常处理两方面提出改进的设计。
　　 3．提出一个基于该机制的原型系统ModInspector，并使用该系统测试其功能的完整性。
　　 实验数据表明，根据本文提出的方法实现内核模块错误的捕捉和保护具有可接受的成功率，同时大大减少了保护技术的适用难度。
　　 最后，在提出的方法和实验结果的基础上，文章还总结了该方法的不足，以及进一步工作的开展方向。

目录

文摘

英文文摘

论文说明：图表目录

声明

第1章 绪论

1.1课题研究背景及意义

1.2本文的主要工作

1.3本文的组织结构

1.4本章小结

第2章 内核保护技术综述

2.1内核模块的困境

2.2 Nooks：基于模块隔离的保护机制

2.3 XFI：基于行为限制的保护机制

2.4 SafeDrive：依赖描述的逻辑限制方法

2.5本章小结

第3章 模块行为监控

3.1模块行为监控的整体思路

3.2内核模块调用界面的监视

3.2.1拦截函数

3.2.2补偿函数

3.2.3补偿队列

3.3直接内核内存写入的监视

3.4本章小结

第4章 页错误拦截与线程返回

4.1页面错误拦截概述

4.2记录模块现场

4.3线程返回过程

4.3.1从page_fault到模块

4.3.2从模块函数快速返回

4.3.3避免模块外错误

4.3.4同步控制

4.4内核恢复

4.5本章小结

第5章 模块保护系统的实现：ModInspector

5.1信息收集和存储

5.2执行流记录

5.3返回设计

5.4实验结果

5.5本章小结

第6章 总结与展望

6.1总结

6.2展望

参考文献

攻读硕士学位期间主要的研究成果

致谢