使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP

mob604756f0bbf4 · · 303 次点击 · · 开始浏览    
这是一个创建于 的文章,其中的信息可能已经有所发展或是发生改变。

KAP 意在对 Linux ELF 在构建之后到上线运行的过程中对应用进行保护,可以通过加密的方式来保护 ELF 泄漏后无法被执行,还可以保护 ELF 在运行过程中不会被调试,也能监控被保护的 ELF 被篡改。且解密校验后运行是采用无文件的方式来运行,保证了解密后的 ELF 不落盘,且可以自定义运行前基线检查。相比于 Linux 默认方式,KAP 对完整性和保密性上进行了大幅度提升,并且还有一个未完全完成的Linux驱动来从内核态来保护 ELF。

1

目标

https://github.com/AlkenePan 和 Will https://github.com/EBWi11 参加了2019 GoHack,编写的项目KAP https://github.com/AlkenePan/KAP 很荣幸获得了第一名,这里和大家聊聊关于 KAP 和这次比赛。
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP

由于时间紧任务重,一开始又没有太多沟通。我们后来选了一个相对实现难度简单的小项目。项目的主要目的是帮助企业保护自己较为敏感的ELF文件。
我们的目标很明确,要在不信任的 Linux 服务器上完成对可执行程序的保护,我们觉得要能对抗以下风险:
⽣产环境可执⾏行行⽂文件窃取
⾮可靠⽣生产环境
可执⾏⽂件被调试
过⾼的执⾏权限
可执⾏程序被篡改
2

设计

我们首先简要回顾程序的一生: Code -> Compile -> Exec(Load) 。当然,现代化的程序员早已全副武装,每个步骤都有自动或是半自动的工具辅助完成:代码编辑器 -> CI/CD -> 进程管理器。
我们盯准在构建之后的产出物到 Linux 加载可执行程序的环节,进行以下设计:
要对构建出的 ELF 进行粉碎式加密并重新打包,不可执行,手工不可恢复。
要自己完成 Linux 装载动作,解密后的可执行程序不可落盘。
通过 APPID 分发公私钥,研发人员在构建后不能手工执行程序。
生产服务器必须与 Server 通信才能完成装载,不正确的执行装载会触发告警,通信还会做一些校验如特定的基线检查。
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP
3

实现

为了在规定时间内完成比赛,我们选择使用 Irsi 作为 API 的框架,Gorm 读写 SQLie,使用 Go 提供的 RSA 库完成加解密,当然如果需要无论是 API 的性能还是存储方案都能够更好的去修改或是替换。
加密可执行文件的部分本想对 ELF 文件头进行加密,但是这样依旧会被手动补充,我们选择了更粗暴的方案:对整个 ELF 文件的区间块进行加密,尽可能的不引起产出物过于膨胀。APPID 和 源文件 Hash 会被添加到头部。并且 Will 给加密后的文件起了 Magic Number: ELF -> 31F
正常的ELF:
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP
粉碎加密:
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP
最后对比一下:
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP
加载部分,为了实现可执行程序不落盘,我们在解密可执行文件之后,会创建内存文件:memfd,我们执行使用 Syscall(MFD_CREATE, ...),并将解密后的文件写入。
一切准备就绪,使用 syscall.StartProcess 启动进程。
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP
整个过程不会对程序的性能或是之后对进程的操作造成影响,同时无论是内鬼还是***拷贝这个加密后的程序或是打包整个执行环境都无法启动。
为了达到其他的安全特性,我们增加了执行程序的权限控制(也可以在注册APPID时填写,默认nobody)。
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP
Will 在这里使用了特别的 Ptrace 技巧防止执行中的程序被调试:通过提前进行不影响进程的Ptrace来保护进程不会被其他进程进行Ptrace。
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP
此外我们增加了额外的 DNS 校验,尽可能的确定在我们期望的环境中执行。
并且还增加了通过fsnotify来监控我们的加密后的二进制文件是否被write/remove。
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP
然后还抓紧时间用很久都不用的bootstrap画了个前端,用来查看我们的一些基本信息:
APP INFO:
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP
ALERT INFO:
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP
这里我们可以看到我们保护的ELF是否正常启动,是否有异常操作等等。

4

进阶

看似一切都符合我们的期待,此时比赛还剩下大约12小时时间,功能已经都实现,然而这时 Will 发现 memfd 依旧可能会被读取,我们的一番操作可能只是提高了***者的门槛。为了保护在内存中的可执行程序,Will 决定增加一个 Agent 保护 /proc/ 文件树,并自制内核模块利用 fsnotify 确保可执行程序在装载后不会被探测或是破坏。
主要思路是通过一个内核驱动来Hook fsnotify,如果发现有进程读去我们需要保护的目录,则从Kernel来kill掉他。
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP
这里坑还是很多的,小BUG不断,虽然勉强达到了我们预期的功能,但是很遗憾的是最后路演阶段出了BUG没有演示成功。这里是效果图:
使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP
经过一宿奋战后,具备更强保护能力的 KAP 诞生了,我们顺利完成了比赛的其他要求,包括写一个说明 slide 和准备演示环境,并在路演之后,意外的获得了一等奖,抱着一等奖牌的 Will 暂时忘记了困倦。比赛结束,我们结束了我们第一次 hackathon。
KAP 的项目地址:KAP: https://github.com/AlkenePan/KAP ,目前 KAF 还处在原型阶段,欢迎与我们一起完善这个项目,也欢迎其他项目借鉴我们。
最后非常感谢Go中国社区举办的这次Hackathon!看到了许许多多充满想法的Gopher的精彩的项目,我们收获良多。


有疑问加站长微信联系(非本文作者)

本文来自:51CTO博客

感谢作者:mob604756f0bbf4

查看原文:使用 Go 语言实现 ELF 文件保护——GoHack 冠军项目KAP

入群交流(和以上内容无关):加入Go大咖交流群,或添加微信:liuxiaoyan-s 备注:入群;或加QQ群:701969077

303 次点击  
加入收藏 微博
添加一条新回复 (您需要 登录 后才能回复 没有账号 ?)
  • 请尽量让自己的回复能够对别人有帮助
  • 支持 Markdown 格式, **粗体**、~~删除线~~、`单行代码`
  • 支持 @ 本站用户;支持表情(输入 : 提示),见 Emoji cheat sheet
  • 图片支持拖拽、截图粘贴等方式上传