首页 > 系统相关> 文章详细

linux源码解读（十二）：系统调用和中断&字节跳动HIDS简要分析

2022-01-05 21:04:01 阅读：256 来源： 互联网

标签：调用中断代码硬件 HIDS 源码 linux app

　　中断是整个计算机体系最核心的功能之一，关于中断硬件原理可以参考文章末尾的链接1（https://www.cnblogs.com/theseventhson/p/13068709.html），这里不再赘述；中断常见的种类如下：

硬件中断：键盘、鼠标、网卡等输入
软件中断：int 3、int 0xe(page fault)
自定义中断
信号中断(kill -signum)，比如kill -9 pid杀死进程
系统异常和错误->利于排错

　　1、（1）本人刚开始学习的时候，看到很多资料把中断、异常、陷阱放在一起介绍，很容易混淆这3个概念，这里详细列举一下各个概念之间的关系如下：

异步中断：都是由硬件产生的，比如键盘、鼠标、网卡等输入，导致硬件中断的事件是不可预测的（cpu也不可能知道用户啥时候敲键盘、移动鼠标，也不可能提前知道网卡什么时候接收到数据）；
同步中断：都是可预见的指令流产生的
- 　　fault：最常见的是page fault缺页异常；异常产生后可以重新执行产生异常的指令；逆向时用这个特性可以通过更改目标内存属性产生的page fault异常达到定位关键代码的目的；
- trap：
  - 　　软中断：最常见的就是int 3了，常用于调试器单步调试；trap产生后会执行下一条指令，所以调试器调试时插入int 3才能达到单步调试的目的；
  - 系统调用：3环app要调用内核的api，比如读写文件、通过wifi收发数据、在屏幕打印日志等，需要进入0环执行；linux早期采用int 0x80做系统调用（早期的windows比如xp系统是通过int 0x2e进入内核的）；后来x86架构的cpu硬件支持syscall、sysenter这种专门的系统调用（也就是从3环进入0环）指令；由于syscall/sysenter这种cpu原生支持的系统调用指令没有特权级别检查的处理，也没有压栈的操作，所以执行速度比 INT n/IRET 快了不少；如下：时间快了接近1倍！
- abort：比如除0

　（2）上述所有的操作，统称为中断！再说直白一点，中断的本质就是被打断！举个例子：cpu正在执行A进程的代码，突然用户敲了一下键盘，或者移动了鼠标，这时候就要马上接受用户的输入，然后采取相应的措施处理用户的输入；

　　接受用户输入的功能已经在硬件上实现了，接下来操作系统需要做的就是实现中断响应的方法了，俗称handler！
中断的种类有很多（linux有256种中断），这么多中断种类，为了方便管理，各自都是有自己的编号的！每个编号自然也会有对应的响应handler（官方叫做中断处理routine）；这么多的handler，执行的时候怎么才能快速找到了？
cpu硬件层面有个IDTR寄存器，存放了IDT表的基址；IDT表本质上就是中断号和中断处理handler的映射；cpu硬件层面会根据中断号找到中断处理handler的入口地址，然后跳转到handler执行代码；有些病毒木马会hook键盘输入的handler，借此记录用户输入的所有字符来盗取账号！
早期windows系统下部分杀毒软件为了确保内核或进程安全，也会通过驱动的方式hook一些系统调用SSDT来确保能及时发现恶意程序是否在作恶，比如hook openprocess来监控有没有恶意程序打开自己的进程注入代码（tp保护也是这个原理）；

　　2、操作系统关于中断的开发，最核心的部分就是填充IDT了，本质就是先写好不同中断号的handler，再把handler函数的入口地址填写到正确的IDT表项（当然格式要符合中断描述符的要求）！接下来看看linux 4.9版本是怎样一步一步填充IDT和使用中断的！　

　　（1）填充IDT，也就是中断初始化，在arch\x86\kernel\traps.c种的trap_init函数中：

void __init trap_init(void)
{
    int i;

#ifdef CONFIG_EISA
    void __iomem *p = early_ioremap(0x0FFFD9, 4);

    if (readl(p) == 'E' + ('I'<<8) + ('S'<<16) + ('A'<<24))
        EISA_bus = 1;
    early_iounmap(p, 4);
#endif

    set_intr_gate(X86_TRAP_DE, divide_error);
    set_intr_gate_ist(X86_TRAP_NMI, &nmi, NMI_STACK);
    /* int4 can be called from all */
    set_system_intr_gate(X86_TRAP_OF, &overflow);
    set_intr_gate(X86_TRAP_BR, bounds);
    set_intr_gate(X86_TRAP_UD, invalid_op);
    set_intr_gate(X86_TRAP_NM, device_not_available);
#ifdef CONFIG_X86_32
    set_task_gate(X86_TRAP_DF, GDT_ENTRY_DOUBLEFAULT_TSS);
#else
    set_intr_gate_ist(X86_TRAP_DF, &double_fault, DOUBLEFAULT_STACK);
#endif
    set_intr_gate(X86_TRAP_OLD_MF, coprocessor_segment_overrun);
    set_intr_gate(X86_TRAP_TS, invalid_TSS);
    set_intr_gate(X86_TRAP_NP, segment_not_present);
    set_intr_gate(X86_TRAP_SS, stack_segment);
    set_intr_gate(X86_TRAP_GP, general_protection);
    set_intr_gate(X86_TRAP_SPURIOUS, spurious_interrupt_bug);
    set_intr_gate(X86_TRAP_MF, coprocessor_error);
    set_intr_gate(X86_TRAP_AC, alignment_check);
#ifdef CONFIG_X86_MCE
    set_intr_gate_ist(X86_TRAP_MC, &machine_check, MCE_STACK);
#endif
    set_intr_gate(X86_TRAP_XF, simd_coprocessor_error);

    /* Reserve all the builtin and the syscall vector:
    将前32个中断号都设置为已使用状态
     */
    for (i = 0; i < FIRST_EXTERNAL_VECTOR; i++)
        set_bit(i, used_vectors);
    //设置0x80系统调用的系统中断门
#ifdef CONFIG_IA32_EMULATION
    set_system_intr_gate(IA32_SYSCALL_VECTOR, entry_INT80_compat);
    set_bit(IA32_SYSCALL_VECTOR, used_vectors);
#endif

#ifdef CONFIG_X86_32
    set_system_intr_gate(IA32_SYSCALL_VECTOR, entry_INT80_32);
    set_bit(IA32_SYSCALL_VECTOR, used_vectors);
#endif

    /*
     * Set the IDT descriptor to a fixed read-only location, so that the
     * "sidt" instruction will not leak the location of the kernel, and
     * to defend the IDT against arbitrary memory write vulnerabilities.
     * It will be reloaded in cpu_init() */
    __set_fixmap(FIX_RO_IDT, __pa_symbol(idt_table), PAGE_KERNEL_RO);
    idt_descr.address = fix_to_virt(FIX_RO_IDT);

    /*
     * Should be a barrier for any external CPU state:
     执行CPU的初始化，对于中断而言，在 cpu_init() 中主要是将 idt_descr 放入idtr寄存器中
     */
    cpu_init();

    /*
     * X86_TRAP_DB and X86_TRAP_BP have been set
     * in early_trap_init(). However, ITS works only after
     * cpu_init() loads TSS. See comments in early_trap_init().
     */
    set_intr_gate_ist(X86_TRAP_DB, &debug, DEBUG_STACK);
    /* int3 can be called from all */
    set_system_intr_gate_ist(X86_TRAP_BP, &int3, DEBUG_STACK);

    x86_init.irqs.trap_init();

#ifdef CONFIG_X86_64
    memcpy(&debug_idt_table, &idt_table, IDT_ENTRIES * 16);
    set_nmi_gate(X86_TRAP_DB, &debug);
    set_nmi_gate(X86_TRAP_BP, &int3);
#endif
}

　　used_vectors变量是一个bitmap，它用于记录中断向量表中哪些中断已经被系统注册和使用，哪些未被注册使用；

　（2）trap_init()已经完成了异常和陷阱的初始化。对于linux而言，中断号0~19是专门用于陷阱和故障使用的，20~31一般是intel用于保留的；而外部IRQ线使用的中断为32~255(代码中32号中断被用作汇编指令异常中断)。所以，在trap_init()代码中，专门对0~19号中断的门描述符进行了初始化，最后将新的中断向量表起始地址放入idtr寄存器中；相应的handler定义和实现在arch\x86\kernel\traps.c中，举个大家都熟悉的int 3为例，实现如下：

/* May run on IST stack. */
dotraplinkage void notrace do_int3(struct pt_regs *regs, long error_code)
{
#ifdef CONFIG_DYNAMIC_FTRACE
    /*
     * ftrace must be first, everything else may cause a recursive crash.
     * See note by declaration of modifying_ftrace_code in ftrace.c
     */
    if (unlikely(atomic_read(&modifying_ftrace_code)) &&
        ftrace_int3_handler(regs))
        return;
#endif
    if (poke_int3_handler(regs))
        return;

    ist_enter(regs);
    RCU_LOCKDEP_WARN(!rcu_is_watching(), "entry code didn't wake RCU");
#ifdef CONFIG_KGDB_LOW_LEVEL_TRAP
    if (kgdb_ll_trap(DIE_INT3, "int3", regs, error_code, X86_TRAP_BP,
                SIGTRAP) == NOTIFY_STOP)
        goto exit;
#endif /* CONFIG_KGDB_LOW_LEVEL_TRAP */

#ifdef CONFIG_KPROBES
    if (kprobe_int3_handler(regs))
        goto exit;
#endif

    if (notify_die(DIE_INT3, "int3", regs, error_code, X86_TRAP_BP,
            SIGTRAP) == NOTIFY_STOP)
        goto exit;

    /*
     * Let others (NMI) know that the debug stack is in use
     * as we may switch to the interrupt stack.
     */
    debug_stack_usage_inc();
    preempt_disable();
    cond_local_irq_enable(regs);
    do_trap(X86_TRAP_BP, SIGTRAP, "int3", regs, error_code, NULL);//核心代码
    cond_local_irq_disable(regs);
    preempt_enable_no_resched();
    debug_stack_usage_dec();
exit:
    ist_exit(regs);
}

　　（3）部分中断比如网卡接受到数据后，通过中断通知cpu来读取；如果数据量很大，cpu读取和处理数据的时候一直关闭中断，可能导致其他中断被延迟甚至忽略（大家肯定都遇到过电脑“卡死”的情况：敲击键盘、移动鼠标都没反应，很有可能是cpu还在处理旧中断，来不及响应新的中断）；为了在处理上一个中断的同时避免耽误下一个中断，linux把中断分成了上中断和下中断两部分（类似windows的DPC机制）。上部分代码优先级高，但是代码量较少，耗时不多；下半段执行优先级低但是耗时的代码；上半段执行时依然关闭中断，下半段就可以开中断了；此过程称之为softtirq，图示如下：

　　arch\x86\entry\entry_64.S中的调用代码：

/* Call softirq on interrupt stack. Interrupts are off. */
ENTRY(do_softirq_own_stack)
    pushq    %rbp
    mov    %rsp, %rbp
    incl    PER_CPU_VAR(irq_count)
    cmove    PER_CPU_VAR(irq_stack_ptr), %rsp
    push    %rbp                /* frame pointer backlink */
    call    __do_softirq
    leaveq
    decl    PER_CPU_VAR(irq_count)
    ret
END(do_softirq_own_stack)

　　3、系统调用的核心意义：

　　为什么要用系统调用了？
- 　　每个3环app都需要底层的硬件交互，最常见的诸如在屏幕输出字符、读写磁盘的文件、通过网卡收发数据等；和硬件交互，肯定要调用硬件自身的驱动，但是硬件的种类非常多，如果每个app都单独调用硬件的驱动，会导致app开发的成本高昂！此时linux VFS的作用就凸显了: VFS统一对接种类繁多的硬件驱动，起到了类似各种“中台”的作用；上层app仅需调用linux提供的api，底层不同硬件的驱动由linux操作系统去适配（这里就是VFS啦），app不需要自己挨个调用每个硬件的驱动了，极大降低的开发的难度和成本！这里再发一次之前VFS的图示：

- 同样的硬件只有1个，多个进程或线程都要使用硬件，比如多个进程/线程都要读写磁盘、都要从网卡收发数据，肯定有个先后顺序，这时也需要操作系统来协调；
　　 linux提供的VFS解决了app适配不同硬件的老问题，但是新问题也来了：为了保护VFS和硬件的驱动不被app恶意篡改，VFS和驱动都在0环内核；但是app在3环啊，EIP直接从3环去取0环的指令是会出错的（如果cpu硬件层面不报错，内核代码就毫无安全性可言了，早期的DOS操作系统就是这样的，很容易被ap篡改代码或数据搞崩！），所以cpu硬件层面诞生了软中断：通过int+中断号的形式让EIP顺利进入内核执行代码；而且3环的app只需要执行“int+中断号”即可，完全看不见具体的VFS或驱动代码是怎么写的，极大的简化了app调用api的方法，也保护了VFS或驱动的代码安全(EIP从3环进入0环后，只能按照硬件厂家事先写好的驱动代码执行，没法干其他任何事情了)，一箭双雕！
因为int要检查特权级别，还要出栈入栈保存上下文，比较耗时，cpu在硬件层面诞生了专门的系统调用指令：syscall/sysenter，但是核心功能和int是一样的！

　　4、系统调用在逆向/安全防护的应用：以字节跳动HIDS为例

　　早期在windows下无论是杀毒软件，还是逆向破解的程序，都喜欢hook SSDT来监控3环的app在干啥，比如hook openProcess就知道3环有没有app在调试自己；在linux平台上原理类似，也可以通过hook 系统调用来做防护，拿字节跳动的HIDS举例（末尾参考5、6两个链接）：

　（1）mprotect 函数挂钩：函数本是用来设置物理内存页的rwx属性的，利用这个功能可以用来调试和反调试

　　调试: 先把关键的物理页设置为不可写，一旦有代码试图写该页就会产生page fault异常，由此可以定位关键的代码，这就是传说中的（硬件）内存读写断点，一般用来定来定位关键的加密字段生成代码，也可以用来注入自己的恶意代码；
反调试：把物理内存页面设置为不可写，调试的时候由于需要插入int 3，遇到这种不可写的内存是会报错；大家用ida调试时经常遇到各种signal弹窗告警有一部分就是内存属性不可写导致的！

（2）open函数挂钩：函数本来是用来打开文件、获取文件句柄的，利用这个可以用来：

　　检测自己的so是否被第三方调用：loadlibrary函数底层最终会调用linux系统提供的open函数打开so，然后才能加载so到内存执行代码

（3）prctl函数挂钩：函数原本是用来设置进程属性的，利用这个可以用来：

　　逆向调试　　
- 　设置PR_SET_PTRACER属性用来把代码注入到目标进程，frida底层貌似用的就是ptrace注入代码；
- 改进程/线程的名字躲避安全防护的检测
安全防护
- 检测自己的进程/线程名字是否被更改；
- 检测自己的进程/线程是否被设置PR_SET_PTRACER或PR_SET_MM属性

（4）ptrace函数挂钩：这可能是逆向最有用的系统调用了，frida底层貌似就用了这个函数；HIDS hook这个函数记录了关键信息有：

POKETEXT/POKEDATA
进程ID
内存地址
拷贝的数据
执行程序
进程树

这样就很容易检测自己的进程是不是正在被调试了！

还有很多重要的系统调用如execve、init_module等都被hook了，这里不再赘述！

参考：

　　1、https://www.cnblogs.com/theseventhson/p/13068709.html 实模式中断原理

　　2、https://www.cnblogs.com/jiading/p/12606978.html linux中断和系统调用解析

3、https://www.cnblogs.com/LittleHann/p/4111692.html?utm_source=tuicool&utm_medium=referral Linux Systemcall Int0x80方式、Sysenter/Sysexit Difference Comparation

4、https://bbs.pediy.com/thread-226254.htm syscall/sysenter具体过程

5、https://mp.weixin.qq.com/s/rm_hXHb_YBWQqmifgAqfaw 最后防线：字节跳动HIDS分析

6、https://github.com/EBWi11/AgentSmith-HIDS https://github.com/bytedance/Elkeid/blob/main/README-zh_CN.md

7、https://blog.csdn.net/hunter___/article/details/83063131 prctl()函数详解

8、https://www.jianshu.com/p/b1f9d6911c90 ptrace使用介绍

9、https://www.cnblogs.com/tolimit/p/4415348.html linux中断源码分析-初始化

标签：调用,中断,代码,硬件,HIDS,源码,linux,app
来源： https://www.cnblogs.com/theseventhson/p/15761725.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

linux源码解读（十二）：系统调用和中断&字节跳动HIDS简要分析