ShadowCallStack

ShadowCallStack (SCS) 是一种 LLVM 插桩模式,可将函数的返回地址保存到非叶函数的函数 prolog 中单独分配的 ShadowCallStack,并从函数 epilog 中的 ShadowCallStack 加载返回地址,从而防止返回地址覆盖(比如堆栈缓冲区溢出)。返回地址也存储在常规堆栈中,以便与展开程序兼容,但除此之外就没有用处。这样可以确保攻击行为(修改常规堆栈上的返回地址)不会对程序控制流造成任何影响。

在 aarch64 上,此插桩机制使用 x18 寄存器来引用 ShadowCallStack,这意味着不必将对 ShadowCallStack 的引用存储在内存中。因此,实现的运行时可避免将 ShadowCallStack 地址暴露给能够读取任意内存的攻击者 。

实现

Android 支持将 ShadowCallStack 用于内核和用户空间。

为内核启用 SCS

要为内核启用 ShadowCallStack,请将下面这行代码添加到内核配置文件:

CONFIG_SHADOW_CALL_STACK=y

在用户空间中启用 SCS

如需在用户空间组件中启用 ShadowCallStack,请将下面这几行代码添加到组件的蓝图文件中:

sanitize: {
  scs: true
}

SCS 会假定预留 x18 寄存器是为了存储 ShadowCallStack 的地址,并且该寄存器不会用于任何其他目的。虽然所有系统库都编译为预留 x18 寄存器,但如果为与进程内旧版代码(例如可由第三方应用加载的库)进行互操作的用户空间组件启用 SCS,可能会破坏 x18 寄存器,从而可能导致出现问题。因此,我们仅建议在不会加载到旧版二进制文件中的自包含组件中启用 SCS。

验证

没有专门针对 SCS 的 CTS 测试。不过,您可以确保无论是否启用 SCS,CTS 测试均能通过,从而确定 SCS 不会影响设备。