CN103996004A - 一种基于虚拟化的高可用系统设计方法 - Google Patents

Abstract

本发明公开了一种基于虚拟化的高可用系统设计方法，基于虚拟化技术，实现内核关键数据结构的保护策略，主要依赖于影子页表管理机制和超调用机制，以及异常处理逻辑保证正确有效执行；提出了基于客户机异常处理的高可用系统，该系统的整体系统框架主要由用户操作模块和内核模块两类模块组成。所述高可用系统设计方法，基于虚拟化技术利用客户机的降权执行和资源管理手段，对内核关键数据结构进行保护，防止恶意程序通过篡改内核关键数据从而获得控制权限的过程，有效地提高操作系统内核的可用性，有效地防止rootkit的攻击，性能损耗小，不依赖硬件架构，对应用程序和用户透明。

Description

一种基于虚拟化的高可用系统设计方法

技术领域

本发明涉及高可用系统设计领域，具体涉及一种基于虚拟化的高可用系统设计方法。

背景技术

操作系统安全性是影响内核可用性的一个方面，通过修改内核关键数据结构来获得控制权限的攻击方式成为目前Rootkit工具的主要手段之一。操作系统内核的可用性决定了系统整体可用性，而安全性是影响可用性的其中一个方面。在Linux内核提供可加载模块机制后(LKM),在给内核提供可扩展性的同时，带来了一定的安全隐患。在Linux 内核中Rookit 通常基于以下系统特性：

1) SUID/SGID : 利用suid 可以获得root用户权限来执行suid shell；； 

2)系统中运行的大量守护进程(daemon)，通常是rootkit攻击的入口(entry)；

3) 获得root权限进而通过LKM机制来进入内核，破坏系统以及获得系统关键信息。 

通常典型的Rookit利用守护进程的漏洞，例如perl5.03的缓冲区溢出，获得root权限，进而恶意攻击程序可以利用可加载模块的机制，注入Linux内核，修改关键数据结构或者函数指针，从而达到利用后门程序进行攻击的目的。传统的检测恢复机制存在以下两方面的缺点：第一，恢复可用手段依赖于检测，也就是无法阻止破坏事件的发生。可能在恢复之前，系统遭受了一定程度影响；第二，检测和恢复线程带来了一定的时间开销，降低了系统性能。分析只能检测以及恢复的根本原因，在于侵入到系统的可加载模块，具有内核其它部分相同的执行权限，因而系统对已经加入到内核的可加载模块，不能阻止它执行动作，所以只能依赖于检测-恢复的策略，以确保对系统关键代码和数据的保护。

而基于虚拟化技术，能给这方面的问题带来另外的解决办法，因为虚拟化中确保客户机正确执行的基本策略就是降权执行，并且虚拟机管理器具有完全的资源控制权限，通过客户机和管理器的异常触发和注入手段来保证相互之间的交互，从而确保了客户机的正确执行。

发明内容

针对现有技术存在的不足之处，本发明提供了一种基于虚拟化的高可用系统技术的设计和实现方法。

本发明提供了一种基于虚拟化的高可用系统设计方法，其解决所述技术问题采用的技术方案如下：所述基于虚拟化的高可用系统设计方法提出了一种高可用系统，该系统基于虚拟化技术，利用客户机的降权执行和资源管理手段，对内核关键数据结构进行保护，防止恶意程序通过篡改内核关键数据从而获得控制权限的过程；

所述基于虚拟化的高可用系统设计方法，基于虚拟化的高可用技术，实现内核关键数据结构的保护策略，主要依赖于影子页表管理机制和超调用机制，以及异常处理逻辑保证正确有效执行；通过客户机获得内核关键数据的地址和域信息，扩展VMCALL异常处理方式，设计超调用机制，客户机通过超调用机制与宿主机交换数据，内核模块获得需要保护的数据相关信息；并设置对应影子页表的写保护权限；扩充缺页异常处理程序，确保保护数据不被更改的同时，对其它部门的修改无影响，保证客户机正常有序的执行。

本发明基于虚拟化的高可用系统设计方法中，提出的高可用系统是基于客户机异常处理的高可用系统，该系统的整体系统框架主要由两类模块组成，分别是：用户操作模块和内核模块；其中，内核模块又包含初始化模块、可用性处理模块、注册库、异常处理模块、日志记录模块及扩充的KVM异常处理模块。

本发明公开的基于虚拟化的高可用系统设计方法的有益效果是：

本发明所述高可用系统设计方法，基于虚拟化技术利用客户机的降权执行和资源管理手段，对内核关键数据结构进行保护，防止恶意程序通过篡改内核关键数据从而获得控制权限的过程，有效地提高操作系统内核的可用性，有效地防止rootkit的攻击，性能损耗小，不依赖硬件架构，对应用程序和用户透明。

附图说明

附图1为基于客户机异常处理的整体系统框架；

附图2为本方明超调用机制流程图；

附图3为本方明获取影子页表管理机制流程图。

具体实施方式

 下面通过实施例和附图，对本发明所述一种基于虚拟化的高可用系统设计方法做进一步详细说明，并不造成对本发明的限制。

本发明的目的是力图解决操作系统可用性问题，防止恶意程序对内核关键数据进行篡改，在本发明中针对上述目的，而提出了一种高可用系统，该系统基于虚拟化技术，利用客户机的降权执行和资源管理手段，对内核关键数据结构进行保护，防止恶意程序通过篡改内核关键数据从而获得控制权限的过程。

为实现上述目的，本发明所述基于虚拟化的高可用系统设计方法，基于虚拟化的高可用技术，实现内核关键数据结构的保护策略，主要依赖于影子页表管理机制和超调用机制，以及异常处理逻辑保证正确有效执行；通过客户机获得内核关键数据的地址和域信息，扩展VMCALL异常处理方式，设计超调用机制，客户机通过超调用机制与宿主机交换数据，内核模块获得需要保护的数据相关信息；并设置对应影子页表的写保护权限；扩充缺页异常处理程序，确保保护数据不被更改的同时，对其它部门的修改无影响，保证客户机正常有序的执行。

本发明中所实现的内核关键数据结构的保护策略，基于的主要原理包括：

1）客户机降权执行，底层虚拟机管理器具有完全控制能力和数据读写权限；

2）客户机中数据的映射和访问方式基于影子页表实现，并且影子页表完全由虚拟机管理器控制；

3）VMM保证客户机正确运行的基本手段就是通过降权执行引发客户机异常，并且提供正常的异常处理逻辑和注入逻辑；

4）通过对关键数据页的写保护（write protection），以控制客户机中不安全代码修改关键数据结构；

5）Vt 规范支持客户机和宿主机vmm之间的数据交换，为访问非系统级信息提供可能。

所述基于虚拟化的高可用系统设计方法中提出了一种基于客户机异常处理的高可用系统，附图1为基于客户机异常处理的整体系统框架，如图1所示，所述高可用系统的整体系统框架主要由两类模块组成，分别是：用户操作模块和内核模块；其中，内核模块又包含初始化模块、可用性处理模块、注册库、异常处理模块、日志记录模块及扩充的KVM异常处理模块；各个模块的功能如下所述：

1)用户操作模块：用户操作模块主要提供的功能为：获取客户机的基本信息，提供日志记录查询接口，获取可用性机制信息，提供可用性设置接口；

2)内核模块部分：内核模块主要包含六个部分：初始化模块、可用性处理模块、注册库、异常处理模块、日志记录模块以及扩充的KVM异常处理模块；其中，

a)    初始化模块：通过标准ioctl提供用户接口，接受用户传递的参数并进行有效性检查，根据处理参数从注册库中找到相关处理机制的初始化函数地址，调用该函数进行初始化处理过程；

b)    可用性处理模块：为了提高客户机内核高可用而引入的处理逻辑，每一个可用性处理模块包含三个基本函数：一个是初始化函数,一个为异常处理函数，一个是清理函数；初始化函数在用户配置客户机高可用机制后调用，用于初始化客户机相关信息；异常处理函数用在客户机发生指定异常时，进行处理的调用函数；清理函数用于用户撤销虚拟机的可用性设计后，调用的清理操作；

c)    注册库：保存各个处理模块通过register__ava_process()函数注册模块的信息；包括初始化函数地址，处理函数地址、名称、以及描述等信息；

d)    异常处理模块：扩充的KVM异常处理模块调用处理逻辑的统一入口，根据调用参数从注册库中找到相关处理机制的处理函数地址，调用该处理函数进行异常处理化过程；

e)    日志记录模块：记录运行过程中的异常发生及处理的信息；

f)    扩充的KVM异常处理模块：KVM异常处理模块作为客户机引起异常退出VMX执行环境的统一出口，根据异常条件执行相关的处理逻辑；扩充的异常处理模块，用于引入可用性处理模块后处理逻辑的扩充。

超调用机制使得客户机和KVM交换非系统级信息，而客户机数据获取是客户机信息来源的方式；系统调用表信息的获取，主要依赖运行客户机中的一个模块，然后通过一定的手段来获取系统调用表的首地址。附图2为本发明超调用机制流程图，如附图2所示，超调用机制的具体流程为：首先读取idtr获得中断向量表地址，并计算Ox80对应系统调用中断门，通过中断门获得系统调用处理函数总入口；然后扫描系统调用函数，获得call指令对应的参数，即系统调用表地址，最后通过VMCALL注入地址信息和域长信息。

此外，当客户机信息通过VMCALL注入到内核后，由VMCALL扩充的调用机制来获得信息和信息设置；为了保护客户机关键数据结构，必须获得对应的客户机内核数据结构的影子页表，因为只有影子页表的设置才会起效。由于针对客户机内核关键数据的保护，因此，客户机信息获取模块代表当前进程执行的页表，总可以找到对应的客户机内核数据的页表项信息。附图3为本发明获取影子页表管理机制（影子页和读写设置）流程图，如附图3所示，影子页表管理机制的具体流程为：

步骤1、通过超调用传入系统调用表地址addr；

步骤2、读取客户机状态域的CR3页表寄存器，存入页表地址base，并读取客户机页表层级lever(2=4M,1=4k)；

步骤3、根据lever和addr计算addr对应客户机页表项的偏移offset,根据base和offset得到页面项pte；

步骤4、若Lever=1，则通过pte或者客户机页gfn；读取客户机影子页的lever层级rlever,并读取影子页表页目录指针；

步骤5、根据rlever和addr计算偏移量soffset spte；

步骤6、若rlever=1，则设置spte项写保护，进而记录客户机页帧，影子页spte以及主机页pfn等信息，并记录设置的域长；

步骤7、若rlever=1且为大页面，则返回步骤6执行；否则，对于rlever--，设置base为spte指向的内容，并且返回步骤5进行执行；

步骤8、若Lever=2且为大页面，则进行步骤4到步骤7的执行；

步骤9、若Lever不是1也不是2，则设置base为pte指向内容；并返回步骤3进行执行。

实施例：

下面以一个具体实施例来描述实现本发明所述体系结构的过程：

利用override 进程隐藏，根据其实现原理，通过当前的终端作为后门程序，实现了隐藏进程的目的；

首先，echo $$表明了当前的进程id，在演示案例中，当前进程id是2573，然后再/root/Desktop/ha/rk目录下，是rootkit override，加载后，切换到/proc文件系统下，通过ls命令可以看到当前进程信息2573可以存在于目录中，然后在/dev目录下创建一个新的目录grid-hide-pid-2573 这个过程会触发chdir系统调用，而这个系统调用也是被重定向，chdir系统调用会将2573进程信息加入到隐藏队列中，并且同时隐藏创建的目录，然后转到/proc文件系统下，则可以发现2573这个进程相关的目录找不见了。这是通过rootkit实现进程隐藏的完整过程；

如果启动客户机，加载了/root/guest_infor_inject目录下的客户机信息获取和注入模块的话，这么模块则获得系统调用表的信息并且予以保护设置，再进行上述的攻击过程，则发现当前终端的2565进程，不能实现隐藏，从而说明可以防止rootkit的攻击。

凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.一种基于虚拟化的高可用系统设计方法, 其特征在于，所述基于虚拟化的高可用系统设计方法，基于虚拟化的高可用技术，实现内核关键数据结构的保护策略，主要依赖于影子页表管理机制和超调用机制，以及异常处理逻辑保证正确有效执行；通过客户机获得内核关键数据的地址和域信息，扩展VMCALL异常处理方式，设计超调用机制，客户机通过超调用机制与宿主机交换数据，内核模块获得需要保护的数据相关信息；并设置对应影子页表的写保护权限，扩充缺页异常处理程序；

所述基于虚拟化的高可用系统设计方法提出了一种高可用系统，该系统基于虚拟化技术，利用客户机的降权执行和资源管理手段，对内核关键数据结构进行保护。

2.根据权利要求1所述的基于虚拟化的高可用系统设计方法, 其特征在于，所述高可用系统为基于客户机异常处理的高可用系统，其整体系统框架主要由用户操作模块和内核模块两类模块组成，所述内核模块又包含初始化模块、可用性处理模块、注册库、异常处理模块、日志记录模块及扩充的KVM异常处理模块；其中，

1)用户操作模块：用户操作模块主要提供的功能为：获取客户机的基本信息，提供日志记录查询接口，获取可用性机制信息，提供可用性设置接口；

2)内核模块部分：内核模块主要包含六个部分：初始化模块、可用性处理模块、注册库、异常处理模块、日志记录模块以及扩充的KVM异常处理模块；其中，

初始化模块：通过标准ioctl提供用户接口，接受用户传递的参数并进行有效性检查，根据处理参数从注册库中找到相关处理机制的初始化函数地址，调用该函数进行初始化处理过程；

可用性处理模块：为了提高客户机内核高可用而引入的处理逻辑，每一个可用性处理模块包含三个基本函数：一个是初始化函数,一个为异常处理函数，一个是清理函数；初始化函数在用户配置客户机高可用机制后调用，用于初始化客户机相关信息；异常处理函数用在客户机发生指定异常时，进行处理的调用函数；清理函数用于用户撤销虚拟机的可用性设计后，调用的清理操作；

注册库：保存各个处理模块通过register__ava_process()函数注册模块的信息；包括初始化函数地址，处理函数地址、名称、以及描述等信息；

异常处理模块：扩充的KVM异常处理模块调用处理逻辑的统一入口，根据调用参数从注册库中找到相关处理机制的处理函数地址，调用该处理函数进行异常处理化过程；

日志记录模块：记录运行过程中的异常发生及处理的信息；

扩充的KVM异常处理模块：KVM异常处理模块作为客户机引起异常退出VMX执行环境的统一出口，根据异常条件执行相关的处理逻辑；扩充的异常处理模块，用于引入可用性处理模块后处理逻辑的扩充。

3. 根据权利要求1所述的基于虚拟化的高可用系统设计方法, 其特征在于，所述超调用机制的具体流程为：首先读取idtr获得中断向量表地址，并计算Ox80对应系统调用中断门，通过中断门获得系统调用处理函数总入口；然后扫描系统调用函数，获得call指令对应的参数，即系统调用表地址，最后通过VMCALL注入地址信息和域长信息。

4.根据权利要求1所述的基于虚拟化的高可用系统设计方法, 其特征在于，所述影子页表管理机制的具体流程为：

步骤1、通过超调用传入系统调用表地址addr；

步骤2、读取客户机状态域的CR3页表寄存器，存入页表地址base，并读取客户机页表层级lever(2=4M,1=4k)；

步骤3、根据lever和addr计算addr对应客户机页表项的偏移offset,根据base和offset得到页面项pte；

步骤4、若Lever=1，则通过pte或者客户机页gfn；读取客户机影子页的lever层级rlever,并读取影子页表页目录指针；

步骤5、根据rlever和addr计算偏移量soffset spte；

步骤6、若rlever=1，则设置spte项写保护，进而记录客户机页帧，影子页spte以及主机页pfn等信息，并记录设置的域长；

步骤7、若rlever=1且为大页面，则返回步骤6执行；否则，对于rlever--，设置base为spte指向的内容，并且返回步骤5进行执行；

步骤8、若Lever=2且为大页面，则进行步骤4到步骤7的执行；

步骤9、若Lever不是1也不是2，则设置base为pte指向内容；并返回步骤3进行执行。