FreeBSDのUptimeが偽装できないかを検討する

初めに(やりたいこと)

uptimeが3000daysを超えるように見せたい

  kanai@:/home/kanai % uptime
  10:35PM  up 9 mins, 3 users, load averages: 0.40, 0.84, 0.54
           ^^^^^^^^^ココ!

調査

uptimeコマンドはwコマンドのhard-linkとわかります。

  kanai@:/usr/src/usr.bin % ls -1i /usr/bin/w /usr/bin/uptime
  1134480 /usr/bin/uptime
  1134480 /usr/bin/w

そのため、追うべきコードは、

 /usr/src/usr.bin/w

になります。

あたりをつけたいので、kdumpします。

 kanai@:/home/kanai % ktrace w
 kanai@:/home/kanai % kdump | grep time | grep CALL
 89994 w        CALL  gettimeofday(0xbfbfdbb4,0)
 89994 w        CALL  clock_gettime(0xd,0xbfbfdbd8)
 89994 w        CALL  clock_gettime(0x4,0xbfbfdc90)
 89994 w        CALL  clock_gettime(0,0xbfbfbeec)
 89994 w        CALL  clock_gettime(0,0xbfbfbeec)
 89994 w        CALL  clock_gettime(0,0xbfbfbeec)

clock_gettimeがあやしいです。第一引数に違和感があります。manをひきます。

  int clock_getres(clockid_t clock_id, struct timespec *tp);

ということで/usr/include/time.hを見ます。

  #define CLOCK_MONOTONIC 4
  CLOCK_MONOTONIC which increments in SI seconds
  #define CLOCK_SECOND    13
  CLOCK_SECOND which returns the current second without performing a full time counter query

CLOCK_MONOTONICというのがよくわかりません。あきらめて、/usr/src/usr.bin/w/w.cを見ます。

        /*
         * Print how long system has been up.
         */
        if (clock_gettime(CLOCK_MONOTONIC, &tp) != -1) {
                uptime = tp.tv_sec;

やはり、合っていたみたいです。では、これを書き換えればいいよね、ということで、

.. literalinclude:: Src/clock_settime.c :language: c :linenos:

すると、

::

kanai@:/home/kanai % ./a.out 2258 2258

CLOCK_MONOTONICは書き込み不可属性に見えます。/usr/src/sys/kern/kern_time.cを追います。

::

kern_clock_settime()より if (clock_id != CLOCK_REALTIME) return (EINVAL);

なるほど。clock_idがCLOCK_REALTIME == 0 の場合はsettimeできないようです。 では、CLOCK_MONOTONICは何を追っているのでしょうか?

::

kern_clock_gettime()より case CLOCK_REALTIME: /* Default to precise. / case CLOCK_REALTIME_PRECISE: nanotime(ats); break; case CLOCK_MONOTONIC: / Default to precise. */ case CLOCK_MONOTONIC_PRECISE: case CLOCK_UPTIME: case CLOCK_UPTIME_PRECISE: nanouptime(ats); break;

nanouptime()を見ます。/usr/src/sys/kern/kern_tc.cにありました。

::

/*

  • Functions for reading the time. We have to loop until we are sure that

  • the timehands that we operated on was not updated under our feet. See

  • the comment in <sys/time.h> for a description of these 12 functions. */ binuptime(struct bintime *bt) { struct timehands *th; u_int gen;

      do {
              th = timehands;
              gen = th->th_generation;
              *bt = th->th_offset;
              bintime_addx(bt, th->th_scale * tc_delta(th));
      } while (gen == 0 || gen != th->th_generation);
    

} void nanouptime(struct timespec *tsp) { struct bintime bt;

     binuptime(&bt);
     bintime2timespec(&bt, tsp);

}

bintime_addxはsys/time.hで

::

static __inline void bintime_addx(struct bintime *bt, uint64_t x) { uint64_t u;

    u = bt->frac;
    bt->frac += x;
    if (u > bt->frac)
            bt->sec++;

}

とのことです。さて、よく見ると、th = timehandsが気になるので、上の定義をみると、

::

static struct timehands *volatile timehands =

&th0;

static struct timehands th0; static struct timehands th0 = { &dummy_timecounter, 0, (uint64_t)-1 / 1000000, 0, {1, 0}, {0, 0}, {0, 0}, 1, &th1 };

となっているので、どうも、th0がtimehandsでuptimecounterっぽいことがわかります。 もうちょっと追います。

::

static uint64_t tc_cpu_ticks(void) { static uint64_t base; static unsigned last; unsigned u; struct timecounter *tc;

    tc = timehands->th_counter;
    u = tc->tc_get_timecount(tc) & tc->tc_counter_mask;
    if (u < last)
            base += (uint64_t)tc->tc_counter_mask + 1;
    last = u;
    return (u + base);

}

これでカウントして、tc_windup()で処理しているっぽいのですが、かなりまじめに追わないと行けなそうです。 他の手がないか確認します。tc_init()を見ていると、SYSCTL_STATIC_CHILDRENがあります。なるほど。 その手があったかsysctl。それっぽいのがあるか見ます。

::

kanai@:/ % sysctl -a | grep time | head -1 kern.boottime: { sec = 1366723591, usec = 385546 } Tue Apr 23 22:26:31 2013

これに書き込めれば勝ち!なのですが、

::

static int sysctl_kern_boottime(SYSCTL_HANDLER_ARGS); SYSCTL_PROC(_kern, KERN_BOOTTIME, boottime, CTLTYPE_STRUCT|CTLFLAG_RD, NULL, 0, sysctl_kern_boottime, "S,timeval", "System boottime");

で、CTLFLAG_RWは立っていませんでした。

中間まとめ ^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

uptimeはkern_tc.cのtimehands構造体がキーポイントとなるが、 それに対する直接アクセスのsyscallはない また、cpuが直接インクリメントしている構造体なので、かなりまじめに読まないと読めない。 ここまで来るとつらくなってくるので、kernelをdebugモードでコンパイルし直して、 gdbでattachしながら試行錯誤することにします。

kgdb ^^^^^^

対象のホストでkernelを再構築します。このとき、KDBをオプションで指定します。

::

cd /usr/src/sys/i386/ sudo cp GENERIC HOGETAN sudo vi HOGETAN kanai@:/usr/src/sys/i386/conf % diff GENERIC HOGETAN 24c24 < ident GENERIC


ident HOGETAN 67a68,69 options GDB options DDB sudo config -g HOGETAN cd ../compile/HOGETAN make cleandepend && make depend sudo make sudo make install reboot

boot -d します。

で、ここで、VirtualBoxを以下のように仕込みます。

ターゲット対象のFreeBSD(Kernelを再コンパイルしたやつ)

::

設定 > システム > マザーボード > IO APICを有効化をチェック 設定 > シリアルポート ポート番号:Com1 ポートモード:ホストにパイプ パイプ作成:OFF ポート/ファイルパス:\.\pipe\com_1

適当なFreeBSD

::

設定 > システム > マザーボード > IO APICを有効化をチェック 設定 > シリアルポート ポート番号:Com1 ポートモード:ホストにパイプ パイプ作成:ON ポート/ファイルパス:\.\pipe\com_1

0x80にする gdbとうつ