首页
论坛
课程
招聘
[原创]使用ollvm编译Linux内核驱动模块.ko的正确方法、解决ollvm编译导致加载驱动报错“please compile with -fno-common”
2021-4-18 00:48 3757

[原创]使用ollvm编译Linux内核驱动模块.ko的正确方法、解决ollvm编译导致加载驱动报错“please compile with -fno-common”

2021-4-18 00:48
3757

继“[原创]开源一个Linux内核里进程内存管理模块源码” 的后续文章

地址:[原创]开源一个Linux内核里进程内存管理模块源码

前言

使用ollvm编译Linux内核驱动模块.ko的正确方法、解决ollvm编译导致加载驱动报错“please compile with -fno-common”

 

此问题很久之前就已解决了,库存了挺久了,是时候发布一下吧~

起因

在编写好Linux内核驱动模块后,经过OLLVM混淆编译出来(这里我采用OLLVM9.0.1编译)。再加载进真机手机发现报错“please compile with -fno-common”(不要问我是如何Pass掉内核里验证,此问题不在此文章的讨论范围内)

分析

可以确定的是这个错误,肯定是内核报出来的,不是我的驱动报的。随便下载一份Linux内核源码,很快就定位到了报错点在/kernel/module.c文件里

通过分析ELF结构可以得知COM的意思:

  • STT_COMMON
    The symbol labels an uninitialized common block. See below for details.

检查.ko文件的ELF头发现确实有一大堆的COM变量,而且规律可循,每有一个混淆函数,就会带有两个COM变量,分别为x、y。这里猜测是ollvm每混淆出来的一个函数,都需要附带两个4字节全局变量才可正常执行,这两个4字节变量叫x、y。

解决

每让ollvm混淆一个函数,自己就在源文件新建两个4字节的变量后期替换掉ollvm编译后的两个COM,如
int fake_x=0,fake_y=0;

 

这里变量名我随便取,取xaa3和xaa6

可以发现,自己在源文件里面定义的变量,是没有COM这个标识的,反而变成了17,那就非常好办了,修改ELF头,替换掉OLLVM编译的COM变量指向,因为自己在源文件里定义的两个int变量并无任何用途,所有替换是没有问题的。

 

这里写一个小工具来替换COM变量:
GitHub

 

替换后的效果:

COM标志已消失。

 

尝试重新跑驱动:

验证混淆:

拖进IDA,看看效果

 

下雨一样很壮观。

 

大部分去除OLLVM混淆的工具都离不开一个特点,就是模拟运行,但此Linux内核驱动,首先是采用非常规手段编译出来的驱动文件,再者,目标真机手机的内核是官方最新的ROM包里的内核非自己编译的内核,官方最新的ROM里的内核都是不开放源码的,要么开源的都是第一版很旧很旧那种,想调试?死心吧),然后我采用的是非常规手段加载启动的Linux内核驱动(正常方法不行哈哈,因为会死机,我也不知道原因,懒得去查了,反正特殊方法能启动,所以想调试?很难哟)。

 

破解者想要去除此驱动的混淆,只能静态去混淆,但目前好像还没看到有?。反正动态调试此驱动是几乎不可能的了。


第五届安全开发者峰会(SDC 2021)议题征集正式开启!

最后于 2021-4-18 00:52 被abcz316编辑 ,原因:
收藏
点赞3
打赏
分享
最新回复 (7)
雪    币: 4045
活跃值: 活跃值 (1390)
能力值: ( LV15,RANK:625 )
在线值:
发帖
回帖
粉丝
无名侠 活跃值 10 2021-4-20 13:14
2
0
用unicorn模拟运行,可以忽略平台接口的差异。因为unicorn可以完全忽略call指令及其它平台深度绑定的指令。
雪    币: 12980
活跃值: 活跃值 (2122)
能力值: ( LV13,RANK:824 )
在线值:
发帖
回帖
粉丝
大帅锅 活跃值 4 2021-4-20 15:48
3
0
无名侠大佬说得很对,还有microcode 了解一下
雪    币: 1360
活跃值: 活跃值 (468)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
Amun 活跃值 2021-4-20 16:05
4
0
感觉配置一下 linker script 应该就可以了
雪    币: 409
活跃值: 活跃值 (122)
能力值: ( LV13,RANK:367 )
在线值:
发帖
回帖
粉丝
bitt 活跃值 5 2021-4-20 17:27
5
0
https://github.com/obfuscator-llvm/obfuscator/blob/llvm-4.0/lib/Transforms/Obfuscation/BogusControlFlow.cpp#L515

      GlobalVariable         * x = new GlobalVariable(M, Type::getInt32Ty(M.getContext()), false,
          GlobalValue::CommonLinkage, (Constant * )x1,
          *varX);
      GlobalVariable         * y = new GlobalVariable(M, Type::getInt32Ty(M.getContext()), false,
          GlobalValue::CommonLinkage, (Constant * )y1,
          *varY);

这里把xy的CommonLinkage改成其他LinkageType就行了
雪    币: 263
活跃值: 活跃值 (393)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
abcz316 活跃值 2021-4-21 01:33
6
0
无名侠 用unicorn模拟运行,可以忽略平台接口的差异。因为unicorn可以完全忽略call指令及其它平台深度绑定的指令。

模拟?你如何拿到真机的内核内存数据?比如以小米10为例,应用层是不可能的(内核漏洞情况除外)。

最后于 2021-4-21 01:37 被abcz316编辑 ,原因:
雪    币: 4045
活跃值: 活跃值 (1390)
能力值: ( LV15,RANK:625 )
在线值:
发帖
回帖
粉丝
无名侠 活跃值 10 2021-4-21 18:45
7
0
abcz316 无名侠 用unicorn模拟运行,可以忽略平台接口的差异。因为unicorn可以完全忽略call指令及其它平台深度绑定的指令。 模拟?你如何拿到 ...
unicorn跑一下ollvm基本块关系,不需要内核数据也能跑
雪    币: 153
活跃值: 活跃值 (197)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
人在塔在 活跃值 2021-4-21 20:28
8
0
mark
游客
登录 | 注册 方可回帖
返回