ShadowCallStack (SCS) — это режим инструментирования LLVM , который защищает от перезаписи адреса возврата (например, переполнения буфера стека) путем сохранения адреса возврата функции в отдельно выделенном ShadowCallStack в прологе функции нелистовых функций и загрузки адреса возврата из ShadowCallStack в функцию. эпилог. Адрес возврата также сохраняется в обычном стеке для совместимости с размотчиками, но в остальном он не используется. Это гарантирует, что атаки, изменяющие адрес возврата в обычном стеке, не окажут влияния на поток управления программой.
В aarch64 инструментарий использует регистр x18 для ссылки на ShadowCallStack, а это означает, что ссылки на ShadowCallStack не нужно хранить в памяти. Это позволяет реализовать среду выполнения, которая не раскрывает адрес ShadowCallStack злоумышленникам, которые могут читать произвольную память.
Выполнение
Android поддерживает ShadowCallStack как для ядра, так и для пользовательского пространства.
Включить SCS для ядра
Чтобы включить ShadowCallStack для ядра, добавьте следующую строку в файл конфигурации ядра:
CONFIG_SHADOW_CALL_STACK=y
Включить SCS в пользовательском пространстве
Чтобы включить ShadowCallStack в компонентах пользовательского пространства, добавьте следующие строки в файл схемы компонента:
sanitize: {
scs: true
}
SCS предполагает, что регистр x18 зарезервирован для хранения адреса ShadowCallStack и не используется для каких-либо других целей. Хотя все системные библиотеки компилируются с резервированием регистра x18 , это потенциально проблематично, если SCS включен для компонентов пользовательского пространства, которые взаимодействуют с внутрипроцессным устаревшим кодом (например, библиотеки, которые могут быть загружены сторонними приложениями), что может привести к сбою. регистр x18 . Таким образом, мы рекомендуем включать SCS только в автономных компонентах, которые не будут загружаться в устаревшие двоичные файлы.
Валидация
Специального теста CTS для SCS не существует. Вместо этого убедитесь, что тесты CTS проходят с включенным SCS и без него, чтобы убедиться, что SCS не влияет на устройство.