[原创]什么,你想在内核跑lua?针对硬件断点的内核层快速调试工具集KernLuaBp-Android安全-看雪安全社区

## 开发动机
目前主流的调试工具依赖于ptrace接口，需要2个进程通过信号来互相唤醒处理调试事件。简单考察一次单点命中，目标tracee+trace线程至少需要 **3次** 用户/内核上下文切换：

{**tracee执行直到命中hwbp_trap**}
-[上下文切换，同步处理]->
（储存信号，唤醒tracer睡眠）
-[上下文切换+异步进程调度]->
{**tracer被唤醒处理，重新执行tracee程序**}
-[上下文切换+异步进程调度]->
{**tracee重新开始运行**}

符号标志意义为：[上下文开销] {**用户态执行内容**} (内核态执行内容)

可以看到上下文开销中直接由硬件异常导致的上下文切换是同步的，耗时较少，但是睡眠和唤醒tracer、tracee是一个不小的开销，并且tracer的处理函数需要反复使用ptrace调用陷入内核态以获取tracee的内存+寄存器信息,实际的运行开销比这里只考虑做ptrace_cont的场景更大。但是呢，为了能够在tracer线程里灵活执行可修改的调试操作，好像又是只能依赖这一套反复唤醒和切换的流程。对...对吗？

也并不一定，如果内核硬件调试异常的handler中直接把这个异常给处理完了，然后直接返回用户态，

{**tracee执行直到命中hwbp_trap**}
-[上下文切换，同步处理]->
（丢弃信号，内核内处理异常，硬件断点更新，直接返回用户态）
-[上下文切换，同步处理]->
{**tracee重新开始运行**}

这样的切换开销最多只是**2次同步上下文切换**，相比之下就是飞速。那么怎么实现可修改的异常处理功能呢？不妨把lua脚本植入进内核。查了下git，果然在内核层跑解释器语言这种烂点子已经有人想过。

## 技术要求
- 有可完整编译的kernel源码
- 编写内核模块的makefile与kconfig选项
- ~~植入内核lua运行环境<a href="elink@4f9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6D9N6h3q4A6L8X3E0W2M7X3&6W2L8q4)9J5c8X3I4#2L8X3q4@1K9h3D9`.">lunatik</a>~~ 检查下发现lunatik对于调用lua的写法强烈依赖loadFile也即从内核态直接去读取文件，这是个傻x行为
- ~~写好常用于在lua中调用的c接口:~~ 移入文档
	- ~~hwbp_trap_handler（long current_pc，lua_runtime）处理硬件暂停，转发lua脚本接口~~ 移入文档
	- ~~mem_accessor_b64(addr,base64str,write)包装调用函数 access_process_vm，以base64格式输入读出，访问用户态内存~~
	- ~~regs_accessor（type，index，write） 获取/修改用户态各种类型的寄存器信息~~
	- ~~install_hwbp_at(addr,pid,enabled) 执行断点安装/卸载~~
	- ~~install_hwwp_at(addr,pid,enabled) 内存读写访问断点~~
- 改写特定的系统调用，用于向内核传入lua脚本字符串，以配置对应的hwbp_trap_handler中实现的功能
    - 例如劫持socket/ioctl/sendto/recvfrom
    - 仿apatch直接定义新syscallno
- 将硬件调试中断的处理导入通用lua处理函数，然后立即清除线程异常状态返回用户态

# 20250814更新-适用于内核模块的lua源码
截取自lunatik，目前只包含标准库和dostring功能（string直接从用户空间拷贝）
源码集合附上，放入待编译的内核子模块`path/to/your/module/`以子目录为`lua-core`为例

## MakeFile填写

```
obj-$(CONFIG_YOUR_MODULE) += yourmoduleall.o

ccflags-y +=  -D_LUNATIK -D_KERNEL -DLUA_USE_C89 -I${PWD}/lua-core

# 假设yourmodule.c为你的内核子模块所有功能集成源码文件

yourmoduleall-y +=  yourmodule.o \
    lua-core/lapi.o lua-core/lcode.o lua-core/lctype.o lua-core/ldebug.o lua-core/ldo.o \
	lua-core/ldump.o lua-core/lfunc.o lua-core/lgc.o lua-core/llex.o lua-core/lmem.o \
	lua-core/lobject.o lua-core/lopcodes.o lua-core/lparser.o lua-core/lstate.o \
	lua-core/lstring.o lua-core/ltable.o lua-core/ltm.o \
	lua-core/lundump.o lua-core/lvm.o lua-core/lzio.o \
    lua-core/lauxlib.o lua-core/lbaselib.o \
	lua-core/lcorolib.o lua-core/ldblib.o lua-core/lstrlib.o \
	lua-core/ltablib.o lua-core/lutf8lib.o lua-core/lmathlib.o lua-core/linit.o \
	lua-core/loadlib.o lua-core/arm64/setjmp.o

```

## 头文件引用

```
#include "lua-core/lua.h"
#include "lua-core/lauxlib.h"
#include "lua-core/lualib.h"

//取消lunatik中loadfile的功能
int lunatik_loadfile(lua_State *L, const char *filename, const char *mode){
  return 1;
}

//内核环境测试代码

int call_lua(char* simple_cmd){

int result;
  lua_State *L = luaL_newstate();  /* create state */
  if (L == NULL) {
    printk(KERN_ALERT "Lua-cannot create state: not enough memory\n");
    return 1;
  }
  lua_gc(L, LUA_GCSTOP);  /* stop GC while building state */
   //lua基础库
  luaL_openlibs(L);

// //load kernLuaBpLibs
  // luaL_openKernBplibs(L);
  result=luaL_dostring(L,simple_cmd);
  lua_close(L);
  return 0;
}

//用来搞笑的测试代码
//放入模块_init中测试
int test_lua(void){
  return call_lua("print('hello motherfucker')");
}

```

##  测试结果
这样就算验证完了内核的lua执行环境
![](upload/attach/202508/1006186_4EMQ7M3QEYHYK85.webp)

# 20250814更新-目前部分发布Lua接口文档

## 用户态核心接口-函数形式

劫持系统调用实现

- `public static native void installLua(String name,String lua_script)` 为内核中指定名字`name`的Luastate解释器挂载脚本。
- `public static native String execLuaInkernel(String lua_script)` 单次解释器执行脚本返回结果数据，Luastate立即销毁。

## 内核态接口Lua模块KernLuaBp
在lua代码中已安装实现的接口,可直接在lua代码中调用

### Luastate相关
- `KernLuaBp.preInit(tid)`为线程提取准备好luaState,减少线程重入lua环境新建Luastate带来的overhead
- `KernLuaBp.Load(tid,script)`为线程LuaState预先加载函数定义
- `KernLuaBp.delState(tid)`清除tid上的Luastate
- `KernLuaBp.delAllState()`清除所有缓存的Luastate

### 线程上下文相关
- `KernLuaBp.tid()`
- `KernLuaBp.uid()`
- `KernLuaBp.getRegContext()`获取寄存器状态`RegContext`
- `KernLuaBp.hangup(name)`强制睡眠当前线程，并为此线程标记命名
- `KernLuaBp.wake(name)` 唤醒name命名的线程

#### 寄存器context
- `RegContext.get(abbr)` 获取当前线程寄存器值,abbr为寄存器缩写，包括特殊寄存器lr,pc,sp一般整形寄存器xn以及浮点寄存器dn
- `RegContext.Set(abbr,val)` 写入当前线程寄存器值，例如 "x0",0x8000

#### 线程内存访问
- `KernLuaBp.accessMem(storeKey,tid,addr,len,mod)`保存addr/len的用户态内存到全局表的storeKey变量中, 读取`mode=0`，写入`mode=1`,保存与待写入内容准备为base64格式。

### 进程权限接口
- `KernLuaBp.setUid(uid)`切换进程用户id
- `KernLuaBp.setGroups(groups[])`切换进程groups

### 用户态内存分配
- `KernLuaBp.userMap(pages)` 映射pages页面数的匿名内存，返回起始地址
- `KernLuaBp.userUnMap(addr)` 清除映射

### 同步硬件断点安装
- `KernLuaBp.installBp(addr,type,index,enable,callbackName)`为current线程安装bp,指令断点`type=0`,读断点`type=1`,写断点`type=2`。`callbackName`为线程踩断点后同步调用的Luastate镜像名称，将在此Luastate上调用`bpHit()函数`。`callbackName`设置为nil则默认为当前线程缓存的Luastate执行用户定义的`bpHit()函数`。
- `KernLuaBp.installBpTid(tid,addr,type,index,enable)`为其他线程安装，会先暂停线程，再进行安装
- `KernLuaBp.singleStep()`设置当前进程为单步模式
- `KernLuaBp.isSingleSteped()`判定当前进程是否处在单步暂停中
- `KernLuaBp.clearBp(tid)`清除线程上安装的所有bp

### 封装功能接口
- `KernLuaBp.utils_installFuncHook(addr,callback_in,callback_out,max_retdistance=1024)`
	- `callback_in`与`callback_out`类似frida interceptor接口`onEnter()`与`onLeave()`，无调用参数，需要通过KernLuaBp接口获得context参数。如果是无尾函数,或者在max_retdistance范围内没有ret指令，则onLeave不生效
- `KernLuaBp.utils_mapsItem()`获取当前线程映射表
- `KernLuaBp.utils.mapsItemSearch(desc,index)` 获取满足匹配的第index个映射表项，效率比整体dump更快

### 日志
- `KernLuaBp.log(tag,info)`写入专属logbuf
- `KernLuaBp.readLog(maxcnt)`读取并清除专属logbuf

## 实践用例
未完待续...后续可以给大家演示一下常见的几个骚操作,包括

- JumpKing.lua，命中断点后跳转进入任意位置代码继续执行
- hookEnter.lua 函数入口hook
- hookRet.lua 函数返回hook
- DepthTracer.lua 有限制调用栈的函数trace
- v_vdso.lua 仿vdso用户空间映射动态可执行库
...

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-8-14 14:15 被dadadasda编辑，原因：追加编译设置，内核模块中的lua运行库源码，发布接口文档

#工具脚本 #源码框架 #逆向分析 #系统相关 #HOOK注入

上传的附件：

lua-core.zip （312.34kb，42次下载）

最新回复 (21)
dadadasda 雪币： 107 活跃值： (780) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 32 粉丝 42 关注私信	dadadasda 2 楼追加了可编译的lua-core源码,与当前开发完毕的内核lua接口 2025-8-14 14:12 0
暴强雪币： 29 活跃值： (1834) 能力值： ( LV2，RANK：10 ) 在线值：发帖 42 回帖 181 粉丝 5 关注私信	暴强 3 楼你真猛！ 2025-8-17 08:57 0
mb_ndttieme 雪币： 477 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 42 粉丝 0 关注私信	mb_ndttieme 4 楼谢谢你的细致分析，受益匪浅！ 2025-8-17 09:04 0
mb_nkjfyhkg 雪币： 308 活跃值： (180) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 78 粉丝 10 关注私信	mb_nkjfyhkg 5 楼 mark 2025-9-3 02:15 0
TeamAR 雪币： 0 活跃值： (1744) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 51 粉丝 0 关注私信	TeamAR 6 楼 like! 2025-9-3 03:17 0
mb_akowpmjs 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 17 粉丝 0 关注私信	mb_akowpmjs 7 楼 6666 2025-9-10 19:57 0
bullyxy 雪币： 20 活跃值： (1777) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 79 粉丝 4 关注私信	bullyxy 8 楼 gooooood 2025-9-22 13:28 0
Ara 雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	Ara 9 楼 good 2025-9-28 21:04 0
mb_euhyowpw 雪币： 2 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 152 粉丝 0 关注私信	mb_euhyowpw 10 楼 1 2025-9-28 21:09 0
Obuchi 雪币： 113 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	Obuchi 11 楼看看 2025-9-30 19:10 0
asuralove 雪币： 71 活跃值： (1968) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 118 粉丝 2 关注私信	asuralove 12 楼 666 2025-10-10 10:03 0
mb_irhdtnzm 雪币： 23 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 158 粉丝 0 关注私信	mb_irhdtnzm 13 楼 1 2025-10-14 15:18 0
大萨达雪币： 217 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 63 粉丝 0 关注私信	大萨达 14 楼 666 2025-11-9 11:40 0
mb_qimctavn 雪币： 5327 活跃值： (6780) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 401 粉丝 1 关注私信	mb_qimctavn 15 楼 6 2025-11-9 12:33 0
Heiyiren123 雪币： 223 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 66 粉丝 1 关注私信	Heiyiren123 16 楼感谢分享技术干货！ 2025-12-8 16:40 0
wx_白鸟之诗雪币： 1200 活跃值： (1210) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 52 粉丝 0 关注私信	wx_白鸟之诗 17 楼感谢分享 2026-3-19 11:22 0
星辰北天雪币： 212 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 26 粉丝 0 关注私信	星辰北天 18 楼 666 2026-3-29 19:49 0
wx_Dispa1r 雪币： 1963 活跃值： (4337) 能力值： ( LV4，RANK：55 ) 在线值：发帖 5 回帖 139 粉丝 4 关注私信	wx_Dispa1r 19 楼 1 2026-3-29 23:34 0
mb_paopxhtx 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 30 粉丝 0 关注私信	mb_paopxhtx 20 楼厉害就两个字 2026-6-22 22:32 0
温泉划水鱼雪币： 94 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 226 粉丝 28 关注私信	温泉划水鱼 21 楼 good 2026-6-22 22:49 0
Yuuuual 雪币： 235 活跃值： (55) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 33 粉丝 0 关注私信	Yuuuual 22 楼学习记录，感谢分享 2026-7-23 13:38 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复