【硬件虚拟化】远离kernel的理想乡

发布时间：2018-12-23 12:35:37 所属栏目：空间来源：三寸法师

导读：简介这个故事描述了如何使用硬件虚拟化(HVM)使得自己的一些hook代码远离内核不容易被其他内核hook所影响并且较难被检测。本文的思路来源于某学校的动态linux内核更新的玩意，代码大量抄自bluepill。第一章 (Avalon) 阿瓦隆的黎明由于驱动牛人越来越多系

部分代码：

static BOOLEAN NTAPI VmxDispatchMsrRead ( 
 PCPU Cpu, 
 PGUEST_REGS GuestRegs, 
 PNBP_TRAP Trap, 
 BOOLEAN WillBeAlsoHandledByGuestHv 
) 
{ 
 
... 
 
switch (ecx) { 
 case MSR_IA32_SYSENTER_CS: 
   MsrValue.QuadPart = VmxRead (GUEST_SYSENTER_CS); 
   break; 
 
 case MSR_IA32_SYSENTER_ESP: 
   MsrValue.QuadPart = VmxRead (GUEST_SYSENTER_ESP); 
   break; 
 case MSR_IA32_SYSENTER_EIP: 
   MsrValue.QuadPart = Avlkrnlinfo->SysenterAddr; 
 
... 
 
}

idt重定向处理方法：

1、idt地址欺骗

2、idt模拟投递

第一种是指方案拦截sidt，lidt指令填充一份伪造的idt地址误导访问者(由系统投递相对稳定)。

第二种是指方案模拟idt的处理过程自己写程序投递idt。

因为方案一需要使用反汇编引擎分析具体的保存地址体积过大，所以本版的Avalon使用第二种方案即idt模拟投递。

（编辑：威海站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!

5/7

首页

尾页