Question

我无法找到问题的适当文档，因为我在内核和用户空间中生成了一致的HMACS。根据LKD中的R.Love，记忆描述符mm-＆gt; start_code和mm-＆gt; end_code应该包含.text段。在静态可执行文件中查找.text段在ELF文档中已经很好地定义，并且很容易获得。因此，给定以下两个代码片段，可以期望获得匹配的HMAC：

内核：

__mm = get_task_mm(__task);

__retcode = ntru_crypto_hmac_init(__crypto_context);
if(__retcode != NTRU_CRYPTO_HMAC_OK)
    return 1;

__retcode = ntru_crypto_hmac_update(__crypto_context, (const uint8_t*)__mm->start_code, 
                                    __mm->end_code - __mm->start_code);
if(__retcode != NTRU_CRYPTO_HMAC_OK)
   return 1;

__retcode = ntru_crypto_hmac_final(__crypto_context, __hmac);
if(__retcode != NTRU_CRYPTO_HMAC_OK)
    return 1;

return 0;

用户空间：

for (j = 0; j < file_hdr32.e_shnum; j++)
{
   if (!strcmp(".text", strIndex + section_hdr32[j]->sh_name))
   {
       retcode = ntru_crypto_hmac_init(__crypto_context());
       if(retcode != NTRU_CRYPTO_HMAC_OK)
       {
            syslog(LOG_ERR, "ntru_crypto_hmac_init error: retcode = %d, TID(0x%lx)",
                                     retcode,pthread_self());
            return 0;
        }       

       retcode = ntru_crypto_hmac_update(__crypto_context(), 
                 filebuf + section_hdr32[j]->sh_offset, section_hdr32[j]->sh_size);
       if(retcode != NTRU_CRYPTO_HMAC_OK)
       {
           syslog(LOG_ERR, "Internal crypto error (%d)", retcode);
           return 0;
       }

       retcode = ntru_crypto_hmac_final(__crypto_context(), _hmac);
       if(retcode != NTRU_CRYPTO_HMAC_OK)
       {
           syslog(LOG_ERR, "Failed to finalize HMAC, TID(0x%lx)", pthread_self());
           return 0;
       }

       return 1;
   }
}

在这两种情况下，.text段都是其记录的位置，但它们从不匹配。我为系统上的所有17,000个可执行文件生成了用户态HMACS，因此即使内核内存描述符中的代码段指向依赖项而不是主可执行文件，我仍然应该得到一个匹配，但是没有骰子。两个“.text”片段之间存在根本不同的东西，我想知道是否有人知道它是什么，所以我可以节省一些时间 - 任何线索？提前谢谢，皮特。; 1

Answer 1

两个“.text”段之间存在根本不同的东西

您的问题是您忽略了细分和部分之间的区别。

ELF格式是可执行文件和链接格式。段用于前者，段用于后者（这里的链接表示静态链接，即构建时）。链接二进制文件后，可以从中完全丢弃部分，并且在运行时只需要部分。细分为mmap，而非细分。

现在让我们来看看两者之间的区别。

readelf -l /bin/date

Elf file type is EXEC (Executable file)
Entry point 0x402000
There are 9 program headers, starting at offset 64

Program Headers:
  Type           Offset             VirtAddr           PhysAddr
                 FileSiz            MemSiz              Flags  Align
  PHDR           0x0000000000000040 0x0000000000400040 0x0000000000400040
                 0x00000000000001f8 0x00000000000001f8  R E    8
  INTERP         0x0000000000000238 0x0000000000400238 0x0000000000400238
                 0x000000000000001c 0x000000000000001c  R      1
      [Requesting program interpreter: /lib64/ld-linux-x86-64.so.2]
  LOAD           0x0000000000000000 0x0000000000400000 0x0000000000400000
                 0x000000000000d5ac 0x000000000000d5ac  R E    200000
  LOAD           0x000000000000de10 0x000000000060de10 0x000000000060de10
                 0x0000000000000440 0x0000000000000610  RW     200000
  DYNAMIC        0x000000000000de38 0x000000000060de38 0x000000000060de38
                 0x00000000000001a0 0x00000000000001a0  RW     8
  NOTE           0x0000000000000254 0x0000000000400254 0x0000000000400254
                 0x0000000000000044 0x0000000000000044  R      4
  GNU_EH_FRAME   0x000000000000c700 0x000000000040c700 0x000000000040c700
                 0x00000000000002a4 0x00000000000002a4  R      4
  GNU_STACK      0x0000000000000000 0x0000000000000000 0x0000000000000000
                 0x0000000000000000 0x0000000000000000  RW     8
  GNU_RELRO      0x000000000000de10 0x000000000060de10 0x000000000060de10
                 0x00000000000001f0 0x00000000000001f0  R      1

 Section to Segment mapping:
  Segment Sections...
   00
   01     .interp
   02     .interp .note.ABI-tag .note.gnu.build-id .gnu.hash .dynsym .dynstr .gnu.version .gnu.version_r .rela.dyn .rela.plt .init .plt .text .fini .rodata .eh_frame_hdr .eh_frame
   03     .ctors .dtors .jcr .dynamic .got .got.plt .data .bss
   04     .dynamic
   05     .note.ABI-tag .note.gnu.build-id
   06     .eh_frame_hdr
   07
   08     .ctors .dtors .jcr .dynamic .got

上面你可以看到多个部分（.interp，.note.ABI-tag，... .text，...）都被映射到一个{ {1}} 段。所有这些部分都具有相同的保护，并且所有部分都由一个PT_LOAD区域“覆盖”。

将此与[mm->start_core, mm->end_code)部分进行比较：

.text

您会注意到该部分较小并且从不同的偏移处开始。

难怪你会得到不同的HMAC。尝试在用户区域中计算HMAC而不是段，你应该得到一个匹配。

何时ELF .text段不是ELF .text段？

1 个答案: