基于硬件虚拟化技术的新一代二进制分析利器.pdf

2022看雪安全开发者峰会 1、面向业务守护的移动安全对抗实践 2、从应用场景看金融安全 —— 逻辑为王 3、Linux内核漏洞检测与防御 4、从后门到漏洞——智能设备私有协议中的安全问题 5、漫谈AOSP蓝牙漏洞挖掘技术 6、Paralles Desktop虚拟机逃逸之旅 7、Dumart fuzz：让黑盒像白盒一样fuzz 8、猫鼠游戏：如何进行Windows平台在野0day狩猎 9、基于硬件虚拟化技术的新一代二进制分析利器 10、国产智能网联汽车漏洞挖掘中的几个突破点 《基于硬件虚拟化技术的新一代二进制分析利器》 硬件虚拟化技术是现代计算机安全领域的重要工具，尤其在二进制分析、病毒检测、主机安全以及内核安全等方面发挥着至关重要的作用。本报告主要由阿里云安全系统的专家程聪进行分享，他将深入探讨如何利用这项技术构建新一代的二进制分析平台。 演讲首先从Windows x64内核的PatchGuard谈起，这是一种防止恶意修改内核的安全机制，但它也限制了合法的内核调试和分析。安全研究人员发现，可以通过硬件虚拟化的特性，尤其是扩展页表（EPT）钩子，绕过PatchGuard的限制，进行内核级别的监控和分析。传统的EPT钩子通常采用影子页技术，但这种方法存在一些问题，比如在遇到代码自修改或循环跳转表等复杂情况时可能导致死锁。 报告中介绍了QEMU/KVM作为二次开发的虚拟化平台，其优势在于代码完善度高、稳定性好、性能开销小，并且支持多种操作系统。QEMU/KVM是一个开源的全虚拟化解决方案，它基于KVM（Kernel-based Virtual Machine），后者是Linux内核的一个模块，能够直接利用硬件虚拟化功能。QEMU负责模拟硬件，而KVM则处理虚拟化核心部分，两者结合提供了高效且灵活的虚拟化环境。 在QEMU/KVM上，程聪团队开发了一种无影子页的EPT钩子技术，以解决传统方法的不足。这种方法不再依赖影子页，而是通过动态调整页表权限，避免死锁问题。当遇到读写自身页面的指令时，临时切换页面权限为RWX，使得指令能够正确执行，之后再恢复为X权限，保持钩子的持续有效性。 此外，报告还提到了虚拟化调试器和内核级追踪工具的开发，这些都是在硬件虚拟化技术支持下实现的高级安全分析手段。这些工具能够帮助安全研究人员深入理解系统的内部运作，更有效地检测和防御潜在的安全威胁。 硬件虚拟化技术为二进制分析带来了新的可能，通过创新的方法，如无影子页的EPT钩子，可以实现对系统内核的深度监控，提高安全分析的效率和准确性。这一技术的应用不仅限于研究，还能广泛应用于云安全、金融安全、移动安全等领域，对智能设备和智能网联汽车的漏洞挖掘也具有重要价值。随着技术的发展，我们可以期待硬件虚拟化在安全领域的更多创新和突破。