Zer0Kernel Security Community — 🐧 Разработка ОС и исследование защиты

Как устроена очередь APC​

DWORD QueueUserAPC(
  PAPCFUNC  pfnAPC,   // указатель на функцию для выполнения
  HANDLE    hThread,   // дескриптор целевого потока
  ULONG_PTR dwData     // параметр, передаваемый в функцию
);

Alertable-состояние: обязательное условие выполнения​

ELF header: точка входа в файл​

• e_type — тип файла: ET_EXEC (исполняемый), ET_DYN (разделяемый объект), ET_REL (релоцируемый), ET_CORE (дамп памяти).
  
• e_machine — целевая архитектура: EM_X86_64, EM_386, EM_ARM, EM_AARCH64, EM_MIPS и т. д.
  
• e_entry — виртуальный адрес точки входа. Если файл не имеет точки входа (например, релоцируемый объект), поле равно нулю.
  
• e_phoff — смещение program header table в байтах от начала файла...

Базовая механика захвата потока​

1. Получение дескриптора потока. Для собственного процесса используется CreateThread с флагом CREATE_SUSPENDED или SuspendThread для уже работающего потока. Для чужого процесса — OpenThread с правами THREAD_ALL_ACCESS.
   
2. Выделение памяти под payload. VirtualAlloc (локально) или VirtualAllocEx (удалённо) с флагами MEM_COMMIT | MEM_RESERVE и начальными правами PAGE_READWRITE.
   
3. Запись кода. memcpy (локально) или WriteProcessMemory (удалённо).
   
4. Смена прав памяти. VirtualProtect / VirtualProtectEx переводит регион в PAGE_EXECUTE_READWRITE.
   
5. Перенаправление исполнения. GetThreadContext читает текущее состояние регистров, поле Rip (x86-64) заменяется на адрес payload, SetThreadContext записывает изменённый контекст обратно. После ResumeThread поток начинает выполнять внедрённый код.
   

Три сценария применения​

Локальный захват собственного потока​

Что входит в kernel security research​

• Механизмы изоляции памяти — KASLR, SMAP/SMEP, KPTI, stack canaries, heap hardening.
  
• Контроль целостности кода — модульная подпись, lockdown mode, Secure Boot chain.
  
• Интерфейс системных вызовов — фильтрация через seccomp-BPF, аудит через audit subsystem.
  
• Виртуализация как граница безопасности — гипервизоры, confidential computing (AMD SEV, Intel TDX), изоляция гостевых ядер.
  
• Анализ уязвимостей — от fuzzing-отчётов до построения proof-of-concept в контролируемой среде.
  

Среда разработки: QEMU как основа лаборатории​

Минимальный запуск ядра в QEMU​

1. Собирается ядро Linux с нужными опциями отладки (CONFIG_DEBUG_INFO, CONFIG_GDB_SCRIPTS).
   
2. Создаётся минимальный rootfs (initramfs или образ диска).
   
3. QEMU запускается с флагом -s (эквивалент -gdb tcp::1234) и -S (пауза до подключения отладчика).
   

qemu-system-x86_64 \
  -kernel bzImage \
  -initrd initramfs.cpio.gz \
  -append "console=ttyS0 nokaslr" \
  -nographic \
  -s -S

Что происходит при системном вызове на Windows​

NtAllocateVirtualMemory PROC
    mov r10, rcx          ; первый аргумент в r10 (конвенция syscall)
    mov eax, <SSN>        ; System Service Number — индекс в таблице вызовов
    syscall               ; переход в ядро (ring 0)
    ret
NtAllocateVirtualMemory ENDP

Почему атакующие уходят от ntdll.dll​

Три поколения техник получения SSN​

Статическая таблица по версиям ОС​

Что происходит при классической инъекции​

1. Перечисление процессов — CreateToolhelp32Snapshot с флагом TH32CS_SNAPPROCESS, затем итерация через Process32First/Process32Next.
   
2. Открытие целевого процесса — OpenProcess с правами PROCESS_ALL_ACCESS или комбинацией PROCESS_VM_WRITE | PROCESS_VM_OPERATION | PROCESS_CREATE_THREAD.
   
3. Выделение памяти — VirtualAllocEx с флагами MEM_COMMIT | MEM_RESERVE и начальными правами PAGE_READWRITE.
   
4. Запись payload — WriteProcessMemory копирует shellcode в выделенный регион.
   
5. Смена прав страницы — VirtualProtectEx переводит регион в PAGE_EXECUTE_READWRITE (RWX).
   
6. Создание удалённого потока — CreateRemoteThread с адресом shellcode в качестве стартовой рутины.
   

Артефакты в виртуальной памяти процесса​

VAD-дерево и новый регион​

• Появление региона с типом MEM_PRIVATE (не привязан к...

Процесс как объект ядра​

• Через дескриптор (handle). Каждый вызов функции, открывающей дескриптор (например, OpenProcess), увеличивает и счётчик ссылок, и счётчик открытых дескрипторов на единицу. Закрытие дескриптора через ZwClose уменьшает оба счётчика.
  
• Через указатель в режиме ядра. Подпрограммы вроде ObReferenceObjectByHandle получают дескриптор и возвращают указатель на объект, увеличивая счётчик ссылок. После завершения работы с указателем драйвер обязан вызвать ObDereferenceObject.
  

Временные и постоянные объекты​

Базы ключей в UEFI-прошивке​

• PK (Platform Key) — корневой ключ платформы. Определяет, кто имеет право изменять остальные базы. Обычно принадлежит производителю оборудования.
  
• KEK (Key Exchange Key) — ключи, уполномоченные обновлять базы данных подписей.
  
• db (Signature Database) — список доверенных сертификатов и хешей. Бинарник, подписанный ключом из db, считается доверенным.
  
• dbx (Forbidden Signature Database) — список отозванных сертификатов и хешей. Даже если подпись есть в db, наличие в dbx блокирует загрузку.
  

Переменные загрузки NVRAM​

• BootXXXX (например, Boot0000, Boot0001) — содержат путь к EFI-бинарнику и параметры.
  
• BootOrder — задаёт приоритет записей BootXXXX.
  

Shim: мост между Microsoft и дистрибутивом​

Payload и shellcode — не синонимы​

Классификация payload по модели взаимодействия​

Shellcode как фрагмент машинного кода​