如何确保共享库的内存页被多个进程共享？

Question

由于动态链接器/加载器的调试输出ld确认victim和spy程序都加载了正确的输入文件，因此下一步将验证内核是否实际上已将加载到内存中的物理页设置为在和libmyl.so之间共享。victimspy

在 Linux 中，从内核版本 2.6.25 开始可以通过pagemap内核中的接口，允许用户空间程序通过读取中的文件来检查页表和相关信息/proc。

使用页面映射来确定两个进程是否共享内存的一般过程如下：

读取/proc/<pid>/maps两个进程以确定内存空间的哪些部分映射到哪些对象。
选择您感兴趣的地图，在本例中libmyl.so是映射到的页面。
打开/proc/<pid>/pagemap。它pagemap由 64 位页面映射描述符组成，每页一个。页面地址与其描述符地址之间的映射pagemap是页地址/页大小*描述符大小。查找您想要检查的页面的描述符。
从 .txt 文件中读取每个页面的 64 位描述符作为无符号整数pagemap。
比较和libmyl.so的页面之间页面描述符的位 0-54 中的页面帧号 (PFN) 。如果 PFN 匹配，则两个进程共享相同的物理页。victimspy

以下示例代码说明了如何pagemap从流程内访问和打印。它用dl_iterate_phdr()确定加载到进程内存空间中的每个共享库的虚拟地址，然后查找并打印相应的pagemapfrom /proc/<pid>/pagemap。

#define _GNU_SOURCE
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <string.h>
#include <inttypes.h>
#include <sys/stat.h>
#include <fcntl.h>
#include <link.h>
#include <errno.h>
#include <error.h>

#define E_CANNOT_OPEN_PAGEMAP 1
#define E_CANNOT_READ_PAGEMAP 2

typedef struct __attribute__ ((__packed__)) {
    union {
        uint64_t pmd;
        uint64_t page_frame_number : 55;
        struct {
            uint64_t swap_type: 5;
            uint64_t swap_offset: 50;
            uint64_t soft_dirty: 1;
            uint64_t exclusive: 1;
            uint64_t zero: 4;
            uint64_t file_page: 1;
            uint64_t swapped: 1;
            uint64_t present: 1;
        };
    };
} pmd_t;


static int print_pagemap_for_phdr(struct dl_phdr_info *info,
                                  size_t size, void *data)
{
    struct stat statbuf;

    size_t pagesize = sysconf(_SC_PAGESIZE);

    char pagemap_path[BUFSIZ];
    int pagemap;

    uint64_t start_addr, end_addr;

    if (!strcmp(info->dlpi_name, "")) {
        return 0;
    }

    stat(info->dlpi_name, &statbuf);

    start_addr = info->dlpi_addr;
    end_addr = (info->dlpi_addr + statbuf.st_size + pagesize) & ~(pagesize-1);

     printf("\n%10p-%10p %s\n\n",
            (void *)start_addr,
            (void *)end_addr,
            info->dlpi_name);

     snprintf(pagemap_path, sizeof pagemap_path, "/proc/%d/pagemap", getpid());

     if ((pagemap = open(pagemap_path, O_RDONLY)) < 0) {
         error(E_CANNOT_OPEN_PAGEMAP, errno, 
               "cannot open pagemap: %s", pagemap_path);
     }

     printf("%10s %8s %7s %5s %8s %7s %7s\n",
            "", "", "soft-", "", "file /", "", "");
     printf("%10s %8s %7s %5s %11s %7s %7s\n",
            "address", "pfn", "dirty", "excl.",
            "shared anon", "swapped", "present");

     for (unsigned long i = start_addr; i < end_addr; i += pagesize) {
          pmd_t pmd;

          if (pread(pagemap, &pmd.pmd, sizeof pmd.pmd, (i / pagesize) * sizeof pmd) != sizeof pmd) {
              error(E_CANNOT_READ_PAGEMAP, errno,
                    "cannot read pagemap: %s", pagemap_path);
          }

          if (pmd.pmd != 0) {
              printf("0x%10" PRIx64 " %06" PRIx64 " %3d %5d %8d %9d %7d\n", i,
                     (unsigned long)pmd.page_frame_number,
                     pmd.soft_dirty,
                     pmd.exclusive,
                     pmd.file_page,
                     pmd.swapped,
                     pmd.present);
          }
    }

    close(pagemap);

    return 0;
}

int main()
{
    dl_iterate_phdr(print_pagemap_for_phdr, NULL);

    exit(EXIT_SUCCESS);
}

该程序的输出应类似于以下内容：

$ sudo ./a.out

0x7f935408d000-0x7f9354256000 /lib/x86_64-linux-gnu/libc.so.6

                      soft-         file /                
   address      pfn   dirty excl. shared anon swapped present
0x7f935408d000 424416   1     0        1         0       1
0x7f935408e000 424417   1     0        1         0       1
0x7f935408f000 422878   1     0        1         0       1
0x7f9354090000 422879   1     0        1         0       1
0x7f9354091000 43e879   1     0        1         0       1
0x7f9354092000 43e87a   1     0        1         0       1
0x7f9354093000 424790   1     0        1         0       1
...

在哪里：

address是页面的虚拟地址
pfn是页面页框号
soft-dirty表示如果软脏位在页面页表项（PTE）中设置。
excl.指示页面是否被独占映射（即页面仅针对此进程进行映射）。
file / shared anon指示该页面是文件页面还是共享匿名页面。
swapped指示页面当前是否已交换（意味着present为零）。
present指示该页面当前是否存在于进程驻留集中（暗示swapped为零）。

（注意：我运行示例程序是sudo因为，从 Linux 4.0 开始，只有具有该CAP_SYS_ADMIN能力的用户才能从获取 PFN /proc/<pid>/pagemap。从 Linux 4.2 开始，如果用户没有 PFN，则 PFN 字段将被清零CAP_SYS_ADMIN。这一更改的原因是使其变得更加困难为了利用另一个与内存相关的漏洞，行锤攻击，使用 PFN 公开的虚拟到物理映射信息。）

如果多次运行示例程序，您应该注意到页面的虚拟地址应该改变（由于ASLR），但其他进程正在使用的共享库的 PFN 应保持不变。

如果 PFN与程序libmyl.so之间匹配，我将开始在攻击代码本身中寻找攻击失败的原因。如果 PFN 不匹配，附加位可能会提示为什么页面未设置为共享。比特victimspypagemap表明以下内容:

present file exclusive state:
   0      0     0      non-present
   1      1     0      file page mapped somewhere else
   1      1     1      file page mapped only here
   1      0     0      anonymous non-copy-on-write page (shared with parent/child)
   1      0     1      anonymous copy-on-write page (or never forked)

(MAP_FILE | MAP_PRIVATE)在此上下文中，区域中的写时复制页面是匿名的。

奖金：为了获得次数页面已被映射，PFN 可用于在中查找页面/proc/kpagecount。该文件包含每个页面映射次数的 64 位计数，由 PFN 索引。

Answer 1