深入了解Unprot

一、概述

Unprot是一个轻量级的内存保护工具。它通过在可执行文件中插入一些技巧性的代码，来保证内存的安全性。与传统的内存保护工具不同，Unprot不依赖于任何特定的平台或编译器，因此同样可以在不同的操作系统和编译器上使用。

二、Unprot可实现的内存保护功能

Unprot主要用于保护内存的读、写、执行权限不被越权操作。具体来说，它可以实现以下几个粒度的内存保护功能：

1）页面级别的内存保护。Unprot插入的代码可以将整个页面（通常是4KB）的内存标记为只读或不可执行。

void page_protect(void *addr);

2）区域级别的内存保护。Unprot可以把整个内存区域（可以是几个页面）标记为只读或不可执行。

void region_protect(void *addr, size_t size);

3）指针级别的内存保护。Unprot可以将某个指针指向的内存区域标记为只读或不可执行。

void pointer_protect(void *pointer);

三、Unprot的实现原理

Unprot通过在可执行文件中插入特定的代码，来对内存进行保护。相比于其他内存保护工具，Unprot的实现原理比较巧妙，同时也比较复杂。

1、页面级别的保护

Unprot将页面标记为只读或不可执行，主要是通过修改该页面对应的页表项。当程序试图写该页面的内存时，CPU会检查该页表项是否可写，如果不可写，则会抛出一个页错误<Page Fault>异常，然后交由操作系统处理。操作系统通常会将该页面标记为可写，并重新执行该指令。

#define PT_PAGE_PROT (0x1 << 1)
#define PT_PAGE_NO_EXEC (0x1 << 63)

void page_protect(void *addr) {
  uintptr_t pte = get_pt_entry(addr);
  set_pt_entry(addr, pte & ~PT_PAGE_PROT & ~PT_PAGE_NO_EXEC);
}

void page_unprotect(void *addr) {
  uintptr_t pte = get_pt_entry(addr);
  set_pt_entry(addr, pte | PT_PAGE_PROT | PT_PAGE_NO_EXEC);
}

2、区域级别的保护

对于区域级别的保护，Unprot需要找到包含该区域的所有页面，并将它们标记为只读或不可执行。

void region_protect(void *addr, size_t size) {
  void *start_page = round_down(addr, PAGE_SIZE);
  void *end_page = round_up(addr + size, PAGE_SIZE);

  while (start_page < end_page) {
    page_protect(start_page);
    start_page += PAGE_SIZE;
  }
}

3、指针级别的保护

对于指针级别的保护，Unprot会先解引用该指针，然后再对指向的内存区域进行保护。如果该指针指向了一块只读或不可执行的内存，Unprot会抛出一个页错误异常。

void pointer_protect(void *pointer) {
  uintptr_t addr = *((uintptr_t *)pointer);
  page_protect(round_down(addr, PAGE_SIZE));
}

四、Unprot的应用场景

Unprot可以被广泛应用于安全领域。例如：

1）防止攻击者通过缓冲区溢出等方式改变程序流程。

2）防止攻击者利用ROP（Return-Oriented Programming）技术执行恶意代码。

3）防止代码注入和代码修改。

五、Unprot的局限与优化

尽管Unprot能够有效地保护内存，但它也存在一些局限和优化空间：

1）Unprot只能保护可执行代码段和全局数据段，对于栈和堆等动态分配的内存无法保护。

2）Unprot的代码实现比较复杂，可能会对程序运行性能产生一定的影响。

3）Unprot只能保护内存不被write和execute越权写入，但无法保护read的越权读取。

未来，我们可以考虑优化Unprot的代码实现，使其更加轻量级和高效。