MemoryRanger防止Windows内核中FILE_OBJECT结构劫持
密码学与安全
2019-05-31 v1 操作系统
摘要
Windows操作系统内核内存是网络攻击的主要目标之一。通过发起此类攻击，黑客得以提升进程权限并通过访问内核模式内存篡改用户数据。本文考虑此类攻击的一个新实例，其导致对以独占模式打开的文件的访问。Windows内置安全特性阻止此类合法访问，但攻击者可通过修补动态分配对象绕过它们。研究表明，Windows 10 版本1809 x64易受此攻击。本文给出使用MemoryRanger的示例，这是一种基于虚拟机监控器的解决方案，通过在内核内存隔离 enclaves 中运行内核模式驱动来防止此类攻击。
引用
@article{arxiv.1905.09543,
title = {MemoryRanger Prevents Hijacking FILE_OBJECT Structures in Windows Kernel},
author = {Igor Korkin},
journal= {arXiv preprint arXiv:1905.09543},
year = {2019}
}
备注
10 pages, 5 figures. Korkin, I. (2019, May 15-16). MemoryRanger Prevents Hijacking FILE_OBJECT Structures in Windows Kernel. Paper presented at the Proceedings of the 14th annual Conference on Digital Forensics, Security and Law (CDFSL), Embry-Riddle Aeronautical University, Daytona Beach, Florida, USA. Retrieved from https://commons.erau.edu/adfsl/2019/paper-presentation/7/