-
-
[原创]SMM Rootkit初步 - 读写SMRAM（带你迈入CPU级Rootkit之门）
-
发表于: 2009-3-29 14:37
-
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
哎，只能收藏
 太可怕； |
|
|
这个PPT以前我也看过，里面提到的 MTRRs 方法有篇论文《Attacking SMM Memory via Intel® CPU Cache Poisoning》专门谈过，Windows下不行。
改写SMBASE重新映射SMM内存我虚拟机中没试出来，也许他们模拟得都没那么完善（实际上VM6中光触发SMI就不知飞哪去了  ）。这是关于改写SMBASE的一段资料（已经忘了从哪抄出来的了），有兴趣的继续  The attacker has to modify the caching strategy of the SMRAM location (example if SMBASE=0xa0000). |
|
|
|
|
|
|
|
|
SMM相关的东西我已经有段时间没接触了，自从上次重装了系统，也懒得去装VM6搭建测试环境。而且进入SMM后如何调试也是个问题，要么RSM后无声无息的返回，要么直接卡死重启...一来二去的，我耐心已经被两大VM折磨得差不多了。
不过要是也有“同好”那就再好不过了，我这砖头抛出来这么久总算没白搭  需要相关资料的话我也有一些，我就先说说我的一些理解吧。 读写SMRAM我就不重复了，毕竟这个帖子前面通篇都在讲这个。关键是后面写入指令到SMRAM中如何执行，如何利用... 0. 触发SMI进入SMM方法有很多，最简单的就是向 SMI_CMD端口(0xB2) 写入0x0F。 我 Virtual PC 2007(6.0.192.0) 里测试时很奇怪，向SMM Handler处写上不可执行的乱码，VPC卡死；但向SMM Handler写上包含RSM指令（退出SMM模式的特权指令）的可执行16位代码，触发SMI后啥事也没发生。此后就算向SMM Handler写入垃圾数据，也无法让VPC死掉（也就说触发SMI也无效了，硬要猜的话：要么之前进入SMM后就没有退出来；要么RSM退出SMM后修改了某些东西，导致无法再次进入SMM，也有可能根本就没有进入过SMM，一切都是幻觉-_-）。 而 VMware Workstation(6.0.4-93057) 里触发SMI后，不管SMM Handler处代码是什么，模拟器都会立刻重启。难道VM6里SMM Handler位置不是 0xA8000 QEMU 和 BOCHS我都不熟，不清楚他们对SMM模拟的程度如何，你可以试试看能不能成功。 1. 关于SMM Handler 2. 关于SMM中执行的指令 希望对你有些帮助
|
|
|
|
|
|
|
|
|
|
|
|
站在远方观望
|
|
|
|
|
|
|
|
|
收藏收藏 哈哈
|
|
|
|
|
|
 ..努力学..争取过些时候能看懂这篇帖..先收藏..
|
|
|
|
|
|
俺只能远观不可近看
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
