记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

从头开始了解和使用Hypervisor(第1部分)

2019-12-04 13:25

hypervisor-p1.png

毫不夸张地说,学习完本文,你完全可以创建自己的虚拟环境,并且可以了解VMWare,VirtualBox,KVM和其他虚拟化软件如何使用处理器的函数来创建虚拟环境。

Intel和AMD都在其现代CPU中支持虚拟化,Intel于2005年11月13日在奔腾4系列中推出了代号为“Vanderpool”的VT-x技术,VT-x是intel运用Virtualization虚拟化技术中的一个指令集。VT-x函数的CPU标志是“vmx”,代表虚拟机扩展。

另一方面,AMD开发了代号为“Pacifica”的第一代虚拟化扩展,并最初以AMD安全虚拟机(SVM)的形式发布,但后来以AMD Virtualization的商标销售,缩写为AMD-V。

虚拟机管理程序有两种类型,类型1的管理程序称为“裸机管理程序”或“本机”,因为它可以直接在裸机物理服务器上运行,因此类型1的管理程序可以直接访问硬件。使用类型1虚拟机管理程序时,没有要加载的操作系统作为虚拟机管理程序。

与类型1管理程序相反,就像其他任何应用程序一样,类型2管理程序加载在操作系统内部。由于类型2虚拟机管理程序必须通过操作系统并由操作系统进行管理,因此类型2虚拟机管理程序(及其虚拟机)的运行效率(较慢)将低于类型1虚拟机管理程序。

关于虚拟化的更多概念是相同的,但是在VT-x和AMD-V中需要有不同的考虑。这些教程的其余部分主要关注VT-x,因为IntelCPU越来越流行,使用也越来越广泛。在我看来,AMD在其手册中更清晰地描述了虚拟化,但是Intel在某种程度上使读者感到困惑,尤其是在虚拟化文件中。

虚拟机管理程序和平台

这些概念是与平台无关的,我的意思是你可以在Linux或Windows中轻松运行相同的代码例程,并期望CPU产生相同的行为,但我更喜欢使用Windows,因为Windows更易于调试。在需要时提供一些Linux系统的示例。就个人而言,由于Linux内核管理#GP和其他异常之类的错误,并尝试避免内核崩溃并保持系统正常运行,因此它更适合测试虚拟机管理程序或与CPU相关的任何事物。另一方面,Windows从不尝试管理任何意外的异常,每当你不管理异常时,它都会导致蓝屏死机,因此你可能会收到很多BSOD。最后,我可能(并且肯定)会犯错误,例如错误的实现或错误的信息。

需要的工具

安装WDK的Visual Studio,你可以在此处获取Windows Driver Kit(WDK)。

调试Windows和任何内核模式的最佳方法是使用Windows SDK中提供的Windbg。如果使用默认安装选项安装了WDK,则可能同时安装了WDK和SDK,因此可以跳过此步骤。

你应该能够使用Windbg调试操作系统(在本文中为Windows),更多信息请参见此处。OSR驱动程序加载器可以在这里下载,我们使用此工具将驱动程序加载到Windows计算机中。用于打印DbgPrint()结果的SysInternals调试视图:

1.jpg

创建测试环境

本教程中几乎所有代码都必须在内核级别运行,并且你必须设置Linux内核模块或Windows Driver Kit(WDK)模块。由于配置VMM涉及许多汇编代码,因此你应该知道如何在内核项目中运行内联汇编。在Linux中,你不需要做任何特别的事情,但在Windows中,WDK不再支持x64环境中的内联汇编,因此,如果你以前没有解决此问题,则可能会很难创建一个简单的x64内联项目,但是不用担心,在我后面的文章中我会一一讲到。

现在该创建驱动程序了!

如果你想从Windows Driver Kit(WDK)开始,则整个驱动程序是这样的:

#include <ntddk.h>
#include <wdf.h>
#include <wdm.h>

extern void inline AssemblyFunc1(void);
extern void inline AssemblyFunc2(void);

VOID DrvUnload(PDRIVER_OBJECT  DriverObject);
NTSTATUS DriverEntry(PDRIVER_OBJECT  pDriverObject, PUNICODE_STRING  pRegistryPath);

#pragma alloc_text(INIT, DriverEntry)
#pragma alloc_text(PAGE, Example_Unload)

NTSTATUS DriverEntry(PDRIVER_OBJECT  pDriverObject, PUNICODE_STRING  pRegistryPath)
{
NTSTATUS NtStatus = STATUS_SUCCESS;
UINT64 uiIndex = 0;
PDEVICE_OBJECT pDeviceObject = NULL;
UNICODE_STRING usDriverName, usDosDeviceName;

DbgPrint("DriverEntry Called.");

RtlInitUnicodeString(&usDriverName, L"\Device\MyHypervisor");
RtlInitUnicodeString(&usDosDeviceName, L"\DosDevices\MyHypervisor");

NtStatus = IoCreateDevice(pDriverObject, 0, &usDriverName, FILE_DEVICE_UNKNOWN, FILE_DEVICE_SECURE_OPEN, FALSE, &pDeviceObject);

if (NtStatus == STATUS_SUCCESS)
{
pDriverObject->DriverUnload = DrvUnload;
pDeviceObject->Flags |= IO_TYPE_DEVICE;
pDeviceObject->Flags &= (~DO_DEVICE_INITIALIZING);
IoCreateSymbolicLink(&usDosDeviceName, &usDriverName);
}
return NtStatus;
}

VOID DrvUnload(PDRIVER_OBJECT  DriverObject)
{
UNICODE_STRING usDosDeviceName;
DbgPrint("DrvUnload Called rn");
RtlInitUnicodeString(&usDosDeviceName, L"\DosDevices\MyHypervisor");
IoDeleteSymbolicLink(&usDosDeviceName);
IoDeleteDevice(DriverObject->DeviceObject);
}

AssemblyFunc1和AssemblyFunc2是定义为内联x64汇编代码的两个外部函数。

我们的驱动程序需要注册一个设备,以便我们可以通过用户模式代码与虚拟环境进行通信,另一方面,我定义了使用PnP Windows驱动程序函数的DrvUnload,你可以轻松卸载驱动程序并删除设备,然后重新加载并创建一个新设备。以下代码会负责创建新设备:

RtlInitUnicodeString(&usDriverName, L"\Device\MyHypervisor");
RtlInitUnicodeString(&usDosDeviceName, L"\DosDevices\MyHypervisor");

NtStatus = IoCreateDevice(pDriverObject, 0, &usDriverName, FILE_DEVICE_UNKNOWN, FILE_DEVICE_SECURE_OPEN, FALSE, &pDeviceObject);

if (NtStatus == STATUS_SUCCESS)
{
pDriverObject->DriverUnload = DrvUnload;
pDeviceObject->Flags |= IO_TYPE_DEVICE;
pDeviceObject->Flags &= (~DO_DEVICE_INITIALIZING);
IoCreateSymbolicLink(&usDosDeviceName, &usDriverName);
}

如果你使用的是Windows,则应禁用驱动程序签名强制执行以加载驱动程序,这是因为Microsoft禁止任何未经验证的代码在Windows内核(Ring 0)中运行。

为此,请按住Shift键并重新启动计算机。你应该看到一个新窗口,然后:

1.单击高级选项;

2.在新窗口中,单击“启动设置”。

3.单击重新启动。

4.在“启动设置”屏幕上,按7或F7以禁用驱动程序签名;

4.png

通过注册表启用Windows调试消息,这样你就可以通过SysInternals DebugView获得DbgPrint()结果。

只需执行以下步骤:

1.在regedit中,添加一个密钥:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Debug Print Filter

接着,添加一个名为IHVDRIVER的DWORD值,其值为0xFFFF。重新启动计算机,你就可以开始了。

不过在重新开始之前,你需要了解一些基本概念:

1.虚拟机监控器(VMM):VMM充当主机,并完全控制处理器和其他平台硬件,VMM能够保留对处理器资源,物理内存,中断管理和I/O的选择性控制。

2.客户软件(Guest Software):每个虚拟机(VM)是一个客户软件环境。

3.VMX根操作和VMX非根操作:VMM将以VMX根操作运行,而客户软件将以VMX非根操作运行。

4.VMX转换:VMX根操作和VMX非根操作之间的转换。

5.VM条目:转换为VMX非根操作。

6.扩展页表(EPT):一种现代机制,它使用第二层将客户物理地址转换为主机物理地址。

7.VM退出:从VMX非根操作转换为VMX根操作。

8.虚拟机控制结构(VMCS):是内存中的数据结构,每个虚拟机仅存在一次或者更精确地说,每个VCPU[虚拟CPU]只存在一次,而由VMM管理。随着不同VM之间执行上下文的每次更改,将为当前VM重启VMCS,从而使用VMCS定义VM的虚拟处理器和VMM控制客户软件的状态。

VMCS包含六个逻辑组:

1.客户状态区域:处理器状态已保存到VM退出处的客户状态区域中,并已加载到VM条目中;

2. 主机状态区域:从VM上的主机状态区域加载的处理器状态;

3.VM执行控制字段:在VMX非root用户操作中控制处理器操作的字段;

4. VM退出控制字段:控制VM退出的字段。

5. VM条目控制字段:控制VM条目的字段。

6.VM退出信息字段:只读字段,用于接收有关VM退出的信息,描述VM退出的原因和性质。

详见下图:

5.jpeg

不用担心这些字段,我将在后面的文章中对它们中的大多数进行清楚的解释,只要记住VMCS结构在不同版本的处理器之间是不同的即可。

VMX指令

VMX引入了以下新指令。

1.INVEPT:使EPT衍生的翻译无效

2.INVVPID:基于VPID的翻译无效

3. VMCALL:调用VM监控器;

4. VMCLEAR:清晰的虚拟机控制结构;

5. VMFUNC:VM调用函数;

6.VMLAUNCH:启动虚拟机;

7. VMRESUME:重启虚拟机;

8.VMPTRLD;指向虚拟机控制结构的载荷指针;

9.VMPTRST:存储指向虚拟机控制结构的指针;

10. VMREAD:从虚拟机控制结构读取字段;

11. VMREAD:将字段写入虚拟机控制结构;

12.VMXOFF:退出VMX操作;

13.VMXON:输入VMX操作;

VMM软件的运行周期

6.png

以下各项概述了VMM及其客户软件的生命周期以及它们之间的交互:

1.软件通过执行VMXON指令进入VMX操作;

2.然后,使用VM条目,VMM可以将客户虚拟机变成VM(一次一个)。 VMM使用指令VMLAUNCH和VMRESUME来影响VM条目,它使用VM退出重新获得控制权。

3.VM退出到VMM指定的入口点的传输控制。 VMM可以采取适合于VM退出原因的操作,然后可以使用VM条目返回到VM。

4.最终,VMM可能会自我关闭并退出VMX操作,它通过执行VMXOFF指令来实现。

接下来,我将说明如何使用上面创建的工具在计算机上启用VMX。 

Intel结构和常量(包括VT-x标头)

在本部分中,我们将学习检测处理器对虚拟机监控器的支持,然后简单地配置基本内容以启用VMX和进入VMX操作,以及有关Window Driver Kit(WDK)的更多内容。

配置IRP主要函数

除了我们的内核模式驱动程序(“MyHypervisorDriver”)之外,我创建了一个用户模式应用程序称为“MyHypervisorApp”,首先,你应该在用户模式而不是内核模式中编写代码(源代码见此),这是因为你可能未处理异常,因此会导致BSOD,或者,另一方面,在内核模式下运行较少的代码,以减少出现漏洞的可能性。

如上所述,我们已经创建了一些Windows Driver Kit代码,现在我们要接着开发更多IRP函数。

IRP主要函数位于为每个设备创建的常规Windows表中,一旦在Windows中注册了设备,就必须引入这些函数来处理这些IRP主要函数。这就像每个设备都有其主要函数表,并且每次用户模式应用程序调用其中的任何函数时,Windows都会根据用户请求的设备查找相应的函数(如果设备驱动程序支持该MJ函数),然后调用它将IRP指针传递给内核驱动程序。它的职责是检查设备函数的权限,以下的代码创建设备:

NTSTATUS NtStatus = STATUS_SUCCESS;
UINT64 uiIndex = 0;
PDEVICE_OBJECT pDeviceObject = NULL;
UNICODE_STRING usDriverName, usDosDeviceName;

DbgPrint("[*] DriverEntry Called.");

RtlInitUnicodeString(&usDriverName, L"\\Device\\MyHypervisorDevice");

RtlInitUnicodeString(&usDosDeviceName, L"\\DosDevices\\MyHypervisorDevice");

NtStatus = IoCreateDevice(pDriverObject, 0, &usDriverName, FILE_DEVICE_UNKNOWN, FILE_DEVICE_SECURE_OPEN, FALSE, &pDeviceObject);
NTSTATUS NtStatusSymLinkResult = IoCreateSymbolicLink(&usDosDeviceName, &usDriverName);

请注意,我们的设备名称为“\ device \MyHypervisorDevice”。之后,我们需要介绍设备的主要函数。

if (NtStatus == STATUS_SUCCESS && NtStatusSymLinkResult == STATUS_SUCCESS)
{
for (uiIndex = 0; uiIndex < IRP_MJ_MAXIMUM_FUNCTION; uiIndex++)
pDriverObject->MajorFunction[uiIndex] = DrvUnsupported;

DbgPrint("[*] Setting Devices major functions.");
pDriverObject->MajorFunction[IRP_MJ_CLOSE] = DrvClose;
pDriverObject->MajorFunction[IRP_MJ_CREATE] = DrvCreate;
pDriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = DrvIOCTLDispatcher;
pDriverObject->MajorFunction[IRP_MJ_READ] = DrvRead;
pDriverObject->MajorFunction[IRP_MJ_WRITE] = DrvWrite;

pDriverObject->DriverUnload = DrvUnload;
}
else {
DbgPrint("[*] There was some errors in creating device.");
}

你会看到我对所有函数都添加了“DrvUnsupported”,这是一个用于处理所有MJ函数的函数,并告诉用户不支持该函数。该函数的主体如下所示:

NTSTATUS DrvUnsupported(IN PDEVICE_OBJECT DeviceObject, IN PIRP Irp)
{
DbgPrint("[*] This function is not supported 
知识来源: https://www.4hou.com/web/21860.html

阅读:25287 | 评论:0 | 标签:Web安全 Hypervisor

想收藏或者和大家分享这篇好文章→复制链接地址

“从头开始了解和使用Hypervisor(第1部分)”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

九层之台,起于累土;黑客之术,始于阅读

推广

工具

标签云