首发于LUBANSO

旧版X86 CPU上存在隐藏的“上帝模式”?

8月9日安全研究员Christopher Domas在黑帽会议上表示,一些X86 CPU有内置隐藏后门可轻松获得root权限,黑客可以发送一条命令操作某个核心指令集,负责管理主CPU。

Linux中的“.byte 0x0f,0x3f”命令本不应存在,是未定义行为,更不应该为用户提供root权限,但是它确实存在,于是称之为“上帝模式”。


后门完全打破了操作系统分级保护域模型的安全,其中OS内核在环0中运行,设备驱动程序在环1和2中运行,用户应用程序和接口(“用户空间”)在环3中运行,环3离内核最远和拥有最少的权限。虽然之前从未实现过直接从环3到环0的提升,但测试证明“上帝模式”已经可以利用4个字节将用户权限从最外环提升到最内环。

按照虚拟机管理程序和芯片管理系统的理论,一直存在于裸机上的隐藏RISC芯片应该被认为是环-1或环-2,因为它应该是一种新的,更深层次的特权。作为秘密般存在的X86协同芯片,可以不受限制地访问X86,这应该是一个真真切切的环-4。

我们所信任的黑盒子里的东西无法窥探,但是隐藏的后门可能到处都存在。

据目前了解,这个后门仅存在于2003年制造的用于嵌入式系统和瘦客户端的VIA C3 Nehemiah芯片上,但不幸的是很多其他芯片组上都存在这种隐藏的后门。与此同时,还发现了一种命令US8341419,可以从环3跳到环0并保护机器免受特殊模块寄存器(MSR)的攻击,这些出厂命令通常仅限于某些芯片组。

这时,不少用户会认为至少需要环0才能启动启动过程。不幸的是,经过大量的测试实验表明一些VIA C3 X86处理器默认启用“上帝模式”,任何人都可以从用户端获取。防病毒软件,ASLR和所有其他安全缓解措施都将是无效的。

编辑于 2018-08-16

文章被以下专栏收录

    LUBANSO是国内顶尖区块链安全研发生产企业之一。公司主要从事区块链技术的安全开发与应用,以保障用户资产安全为核心理念,致力于开发更专业的技术来解决用户管理多种数字货币不便、过程繁冗等问题,为数字货币领域提供强大的基础设施,打造更为安全、便捷的数字货币应用生态,丰富区块链技术和数字货币的应用场景。创立之初,LUBANSO就自带安全基因和极客基因,公司拥有全球顶尖的硬件安全技术和区块链技术研发团队,从金融级安全守卫先驱者到区块链硬件钱包安全开拓者,LUBANSO在资产安全技术领域始终保持着领先姿态。