※ 本文為 applejone.bbs. 轉寄自 ptt.cc 更新時間: 2012-06-19 20:07:02
看板 PC_Shopping
作者 標題 Re: [情報] Intel CPU漏洞導致64位元作業系統、虛擬化軟體易受駭客
時間 Tue Jun 19 18:33:44 2012
在過去AMD開發X86-64的指令集時，AMD並沒有真的把記憶體的位元數擴充到64bit
實際上只有到48bit(因為48bit已足夠定址256TB的記憶體，真實64bit需要6層的
pagetable、而48bit只需要4層pagetable)。
實際上只有到48bit(因為48bit已足夠定址256TB的記憶體，真實64bit需要6層的
pagetable、而48bit只需要4層pagetable)。
所以當記憶體儲存時，第48~63bit的值必須與第47bit的值相等(canonical form)
假使值不相等那就會回傳一個錯誤訊息(GP)。
現在的作業系統設計主要都是階層化設計，分為User mode、Priveleged mode
中間是透過SYSRET這個System Call做切換，一些比較重要的事情都必須在
Priveleged mode底下運行，而進行轉換這個動作主要是透過SYSRET執行，也是
這次問題發生之所在。
SYSRET 主會做以下2個動作
將RCX值賦予RIP(instruction pointer)
轉換為User mode
而RCX 是一個通用的register所以可以存取64bit之值
但是RIP是用作存取記憶體位置所以必須符合前述所說canonical form
針對這點，Intel與AMD都會針對這個值檢查的時機不同。
Intel是在轉換前做檢查，AMD是在轉換後。
假使不符合canonical form
Intel會是在Priveleged mode傳回GP
AMD會在User mode傳回GP
假使GP是在Userv mode時傳出，那Stack pointer會是一個由hypervisor給定
得值
但是假使GP是在Priveleged mode傳出那SP值會是當下的SP值也就是Priveleged mode
底下的SP值
但是SYSRET並不會做回復SP值這個動作，這個動作是由hypervisor執行，所以當GP
出現之前SP值已經被複製到當下的地方，所以有心要搞破壞的人，只需要促使
hypervisor 所接收到的RIP不符合canonical form那他就能任意修改SP的值，藉此
破壞。
其實早期的AMD處理器也有相同的問題，並不只有Intel。
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 140.115.213.173
推 :專業推1F 06/19 18:37
※ 編輯: a40136 來自: 140.115.213.173 (06/19 18:39)推 :推~但還是看不太懂XD...是會讓CPU當機嗎?2F 06/19 18:39
可以讓他當機，但是更狠一點，可以控制整台電腦※ 編輯: a40136 來自: 140.115.213.173 (06/19 18:40)
推 :是改變sp然後pop到駭客的程式取得最高權限？3F 06/19 18:43
把要注入的Code放在自己虛擬機的Stack，藉由以上手法使得code會在Priveleged mode下運行。
※ 編輯: a40136 來自: 140.115.213.173 (06/19 18:46)
推 :有列出受影響的AMD與Intel處理器嗎?4F 06/19 18:46
理論上只要修改作業系統針對層級切換所使用的system call就可以解決這個問題Windows、Xen、FreeBSD、RedHat、NetBSD都已經有Patch，記得更新就沒事了
如果是企業用戶使用Linux系統建議可以參考一下KSplice，在事情爆發後不到12小時
就更新了，還不錯。
※ 編輯: a40136 來自: 140.115.213.173 (06/19 19:04)
推 :問一下...這跟ring0有關係嗎?5F 06/19 19:08
Intel CPU權限分為4層Ring0~Ring3，依照Windows internal Window指使用了Ring0Ring3，而這裡說的Priveleged mode可以就說是Ring0
推 :還是看不懂0.06F 06/19 19:56
※ 編輯: a40136 來自: 140.115.213.173 (06/19 20:01)--
※ 看板: PC_Shopping 文章推薦值: 0 目前人氣: 0 累積人氣: 613
回列表(←)
分享