Linux Security Module逆向分析实战

Linux Security Module逆向分析实战

本文记录了对某发行版Linux中一个安全模块（LSM）的逆向过程，该LSM对系统中待运行的程序进行安全校验，数据流穿越内核态与用户态，涉及系统内核及系统服务。此LSM对系统安全性的增强效果明显，其设计思路值得防守方研究学习，可于个人终端或服务器安全防护中应用。特此对逆向内容记录，希望能为读者在终端防护方面拓宽思路，同时欢迎感兴趣的师傅们交流学习。

一. LSM框架简介

Linux安全模块（Linux Security Module，LSM）框架是Linux操作系统内核提供的一种安全机制，它通过内核扩展实现hook函数以完成多种安全检查，通常用于强制访问控制（Mandatory Access Control）。虽然被称作“模块”，但不同于LKM，这些扩展并不是可加载的内核模块，而是和内核代码一起编译在内核文件（vmlinuz）中。可以通过如下命令查看本机启用的LSM，cat /sys/kernel/security/lsm。常见的LSM包括SELinux、Yama等。

LSM框架的hook点设置于内核访问关键对象前，通过调用LSM中实现的hook函数，判断是否可以进行访问。如果有多个LSM，则会根据初始化的顺序依次判断，都允许才能进行访问。上述关键对象包括程序、进程、套接字、文件系统等，可在/usr/src/linux-headers-YOURSYSTEMVERSION/include/linux/lsm_hooks.h中查看详细的hook说明。

这里以程序启动过程为例，简单说明LSM工作的机制。当通过execve系统调用执行一