apa itu linux nx

Linux nx merujuk kepada "No-eXecute", yang merupakan mekanisme perlindungan dalam Linux, iaitu, data tidak boleh laku untuk menghalang kod shell penyerang daripada cuba melaksanakan dalam kawasan data akibat limpahan semasa program keadaan operasi.

Persekitaran pengendalian tutorial ini: sistem linux5.9.8, komputer Dell G3.

Apakah itu linux nx?

Beberapa mekanisme perlindungan yang biasa digunakan oleh program Linux

1 NX (DEP dalam Windows)

NX: No-eXecute, <.>DEP: Pencegahan Laksana Data

bermakna data tidak boleh laku, menghalang kod shell penyerang daripada cuba melaksanakan dalam kawasan data disebabkan limpahan dalam program berjalan.
• gcc didayakan secara lalai Pilihannya ialah:

gcc -o test test.c      // 默认情况下，开启NX保护
gcc -z execstack -o test test.c  // 禁用NX保护
gcc -z noexecstack -o test test.c  // 开启NX保护

2 (ASLR)

PI: Kedudukan-. Boleh Diekstrak Bebas, ASLR: Rawak Susun Letak Ruang Alamat

fpie/fPIE: Perlu digunakan dengan pilihan
• untuk menghidupkan pilihan pai untuk menyusun fail boleh laku supaya elf telah berkongsi atribut perpustakaan dan boleh berada dalam memori Muat dan jalankan di mana-mana sahaja. Serupa dengannya, terdapat fpic/fPIC Mengenai penerangannya https://gcc.gnu.org/onlinedocs/gcc/Code-Gen-Options.html-pie

-fpic

	Generate position-independent code (PIC) suitable for use in a shared library, if supported for the target machine. Such code accesses all constant addresses through a global offset table (GOT). The dynamic loader resolves the GOT entries when the program starts (the dynamic loader is not part of GCC; it is part of the operating system). If the GOT size for the linked executable exceeds a machine-specific maximum size, you get an error message from the linker indicating that -fpic does not work; in that case, recompile with -fPIC instead. (These maximums are 8k on the SPARC, 28k on AArch64 and 32k on the m68k and RS/6000. The x86 has no such limit.)

	Position-independent code requires special support, and therefore works only on certain machines. For the x86, GCC supports PIC for System V but not for the Sun 386i. Code generated for the IBM RS/6000 is always position-independent.

	When this flag is set, the macros `__pic__` and `__PIC__` are defined to 1.

-fPIC

	If supported for the target machine, emit position-independent code, suitable for dynamic linking and avoiding any limit on the size of the global offset table.This option makes a difference on AArch64, m68k, PowerPC and SPARC.

	Position-independent code requires special support, and therefore works only on certain machines.

	When this flag is set, the macros `__pic__` and `__PIC__` are defined to 2.

-fpie
-fPIE

	These options are similar to -fpic and -fPIC, but the generated position-independent code can be only linked into executables. Usually these options are used to compile code that will be linked using the  -pie  GCC option.

	-fpie and -fPIE both define the macros `__pie__` and `__PIE__`. The macros have the value 1 for `-fpie` and 2 for `-fPIE`.

Perbezaan. Oleh kerana fpic/fPIC digunakan untuk menyusun perpustakaan kongsi, fpie/fPIE ialah pilihan untuk penyusunan fail pai. Dokumen itu mengatakan bahawa pustaka kongsi yang dijana oleh pic (kod bebas kedudukan) hanya boleh dipautkan ke fail boleh laku Selepas itu, anda boleh menyusun atur cara C mudah sendiri dan pai akan berjalan seperti biasa Internet berkata, kod bebas kedudukan yang dijana oleh pilihan pai boleh diandaikan berada dalam Program ini, tetapi saya tidak nampak apa-apa perbezaan antara fpie/fPIE Cuma definisi makro hanyalah perbezaan antara 1 dan 2. Nampaknya...
• Arahan kompilasi (PIE tidak didayakan secara lalai):
  

gcc -fpie -pie -o test test.c    // 开启PIE
gcc -fPIE -pie -o test test.c    // 开启PIE
gcc -fpic -o test test.c         // 开启PIC
gcc -fPIC -o test test.c         // 开启PIC
gcc -no-pie -o test test.c       // 关闭PIE

ASLR (Adress Space Randomization), apabila direka pada asalnya, hanya bertanggungjawab untuk rawak alamat tindanan, perpustakaan, timbunan dan segmen lain. Nilai ASLR disimpan dalam
• , seperti berikut: /proc/sys/kernel/randomize_va_space

0 - bermaksud mematikan proses rawak ruang alamat.

1 - bermaksud mengacak alamat asas halaman mmap, tindanan dan vdso.
2 - bermakna meningkatkan rawak timbunan (timbunan) berdasarkan 1. (Lalai)

Tukar kaedah nilainya: echo 0 > /proc/sys/kernel/randomize_va_space

vDSO: objek kongsi dinamik maya; >mmap: pemetaan ingatan.

bertanggungjawab untuk rawak alamat asas program boleh laku.
Yang berikut diambil daripada Wiki: PIE

Boleh laku bebas kedudukan (PIE) melaksanakan alamat asas rawak untuk binari boleh laku utama dan telah wujud sejak 2003. Ia menyediakan kerawak alamat yang sama kepada boleh laku utama yang digunakan untuk perpustakaan kongsi.

PIE ialah sebahagian daripada ASLR, ASLR ialah fungsi sistem dan PIE ialah pilihan kompilasi.

Nota:
Apabila memperuntukkan timbunan, terdapat dua cara: dan , yang dipanggil apabila mmap() memperuntukkan memori Apabila peruntukan kecil, brk, jika tidak mmap, 128k perbezaan. brk()malloc()3. Canary (Perlindungan Tindanan)

Canary melindungi tindanan Setiap kali fungsi dilaksanakan, nilai Canary dijana secara rawak pada tindanan. Selepas itu, apabila fungsi kembali daripada pelaksanaan, nilai Canary dikesan Jika ia tidak konsisten, sistem akan melaporkan pengecualian.

Wiki:

• Kanari
• atau perkataan kenari ialah nilai diketahui yang diletakkan di antara penimbal dan data kawalan pada timbunan untuk memantau limpahan penimbal Apabila penimbal melimpah, data pertama yang akan rosak biasanya ialah kenari, dan pengesahan yang gagal terhadap data kenari akan memberi amaran tentang limpahan, yang kemudiannya boleh dikendalikan, sebagai contoh, dengan membatalkan kesahihan yang rosak. data. Nilai kenari tidak boleh dikelirukan dengan nilai sentinel.
Seperti yang dinyatakan di atas, nilai kenari diletakkan di antara penimbal dan data kawalan Apabila penimbal melimpah, nilai akan ditulis ganti. supaya dapat dikesan Untuk menentukan sama ada terdapat ralat atau serangan. Mengurangkan serangan limpahan penimbal.

Pilihan susun:

4 RELRO (ReLocation Read Only)

gcc -o test test.c                       //默认关闭
gcc -fno-stack-protector -o test test.c  //禁用栈保护
gcc -fstack-protector -o test test.c     //启用堆栈保护，不过只为局部变量中含有 char 数组的函数插入保护代码
gcc -fstack-protector-all -o test test.c //启用堆栈保护，为所有函数插入保护代码

Terdapat dua mod RELRO dalam Linux:

dan.

. RELRO separa didayakan secara lalai dalam Linux. ”Partial RELRO“”Full RELRO“

RELRO separa:

Arahan kompilasi:

gcc -o test test.c // Didayakan separa secara lalai
• gcc -Wl, - z,relro -o test test.c // Hidupkan sebahagian RELRO
  gcc -z lazy -o test test.c // Hidupkan sebahagian daripada
  
  Pelbagai bahagian fail ELF ialah disusun semula. Bahagian data dalaman (seperti .got, .dtors, dsb.) diletakkan sebelum bahagian data program (seperti .data dan .bss); >
Jadual GOT boleh ditulis (sepatutnya berbeza daripada di atas).
• RELRO Penuh:
• • Arahan kompilasi:
    gcc -Wl,-z,relro,-z,now -o test test.c // Hidupkan RELRO Penuh
    gcc -z now -o test test.c / / Dayakan semua
  • Sokong semua fungsi mod Separa;
  • Seluruh jadual GOT dipetakan kepada baca sahaja.

  gcc -z norelro -o a a.c // RELRO dimatikan, iaitu Tiada RELRO

  Nota:

  • .dtors: Dipanggil apabila perpustakaan kongsi yang ditakrifkan dengan .dtors dimuatkan
  • Dalam kes bss atau ralat limpahan data, RELRO Separa dan Penuh melindungi segmen data dalam ELF daripada; sedang ditimpa. Walau bagaimanapun, hanya RELRO Penuh boleh mengurangkan serangan ganti jadual GOT, tetapi ia agak mahal kerana program perlu menghuraikan semua simbol sebelum bermula.
  • Cadangan berkaitan: "Tutorial Video Linux"
    

Atas ialah kandungan terperinci apa itu linux nx. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!