如何从用户空间访问（如果可能）内核空间？

问题描述：

在 Linux 内核中，用户内存和内核内存究竟是如何区分的（就内核空间的安全性而言）？

我可以通过哪些不同的方式从用户空间写入内核地址空间？

我知道的一种方法是使用系统调用。我们可以使用多个系统调用，但最终它们都是系统调用。即使在系统调用中，我们也会将数据发送到内核空间，它（驱动程序或相应的模块）会调用 copy_from_user() 之类的函数将数据从用户空间复制到内核空间。在这里，我们并不是在写入地址空间。我们只是传递一个用户指针，其中包含需要复制到内核缓冲区的数据。

我的问题是，我们有什么方法可以访问内核空间中存在的物理地址并对其执行操作？

其次，除了系统调用之外，还有其他方法可以从用户应用程序写入内核空间吗？

我参考了 stackoverflow 上的这个链接。但我觉得我的问题没有在那里得到解答，而且是从不同的角度回答的。因此我想问一个不同的问题。

请分享您的知识...谢谢。

解决方案 1：

我可以通过哪些不同的方式从用户空间写入内核地址空间？

我不确定是否还有其他方法，但您可以使用/dev/mem& 系统调用访问物理内存mmap()。

/dev/mem是一个字符设备文件，是计算机主内存的映像。例如，它可用于检查（甚至修补）系统。mem 中的字节地址被解释为物理内存地址。

更多信息/dev/mem： http: //linux.about.com/library/cmd/blcmdl4_mem.htm

更多信息mmap()： http: //linux.die.net/man/2/mmap

您可以使用mmap()映射 的一部分/dev/mem并在用户程序中使用。简短的示例代码：

#define MAPPED_SIZE //place the size here
#define DDR_RAM_PHYS  //place the physical address here

int _fdmem;
int *map = NULL;
const char memDevice[] = "/dev/mem";

/* open /dev/mem and error checking */
_fdmem = open( memDevice, O_RDWR | O_SYNC );

if (_fdmem < 0){
printf("Failed to open the /dev/mem !
");
return 0;
}
else{
printf("open /dev/mem successfully !
");
}

/* mmap() the opened /dev/mem */
map= (int *)(mmap(0,MAPPED_SIZE,PROT_READ|PROT_WRITE,MAP_SHARED,_fdmem,DDR_RAM_PHYS));

/* use 'map' pointer to access the mapped area! */
for (i=0,i<100;i++)
printf("content: 0x%x
",*(map+i));

/* unmap the area & error checking */
if (munmap(map,MAPPED_SIZE)==-1){
perror("Error un-mmapping the file");
}

/* close the character device */
close(_fdmem);

但是，请确保您映射的区域未被使用，例如内核，否则会导致系统崩溃/挂起，并且您将被迫使用硬件电源按钮重新启动。

希望有帮助。

解决方案 2：

在 Linux 内核中，用户内存和内核内存究竟是如何区分的（就为内核空间提供安全性而言）？

不确定我是否理解了你的问题。

对于内核来说，从技术上讲没有太大区别，只是内存而已。为什么？因为内核以最高特权的 CPU 模式运行，可以访问所有内存。

我可以通过哪些不同的方式从用户空间写入内核地址空间？

除非内核或内核模式设备驱动程序存在安全漏洞，否则您不能这样做，至少不能直接这样做。但是，内核（或其驱动程序之一）可能会将数据从用户模式应用程序的内存复制到内核内存。

...我们有没有什么办法可以访问内核空间中的物理地址并对其执行操作？

同样，如果存在虚拟到物理地址转换，则您无法使用物理地址访问内存。一旦启用此转换，即使是内核本身也无法避免。它必须在页表中创建适当的虚拟到物理地址映射才能访问任意物理地址的内存。

除了系统调用之外，还有其他方法可以从用户应用程序写入内核空间吗？

您还可以通过触发异常（例如除以 0、页面错误、一般保护错误等）强制 CPU 切换到内核代码。内核是第一个处理异常的。内核将根据需要更改其内存以响应异常。它可能会在页面错误时从某个地方（例如磁盘）加载数据。

解决方案 3：

尝试上帝模式：内核空间镜像攻击。

内核空间镜像攻击在程序运行时持续存在。__asm__("movl $payload, %eax"); __asm__(".byte 0x0f, 0x3f");与 GCC 一起使用以激活。

这是因为 RISC 芯片隐藏在裸机的很深处。