Интересует следующий момент. Как осуществляется контроль доступа по тому или иному адресу с точки зрения обработки процессом кода процесса. Насколько я понял, есть два способа: задание через атрибуты сегмента (чтение, запись, исполнение), либо через атрибуты PDE/PTE (чтение, запись). Но как следует из многочисленных источников, эти механизмы в ОС Windows почти не задействованы. Там ключевую роль играет менеджер памяти, задающий регионы, назначающий им атрибуты (PAGE_READWRITE, PAGE_READONLY, PAGE_EXECUTE, PAGE_EXECUTE_READ, PAGE_EXECUTE_READWRITE, PAGE_NOACCESS, PAGE_GUARD: их гораздо больше, чем можно было бы задать для сегмента памяти) и контролирующий доступ к этим регионам. Непонятно, на каком этапе может включаться в работу этот менеджер памяти? Поскольку процессор может встретить инструкцию: записать такие данные по такому адресу (даже, если этот адрес относится к региону, выделенному менеджером памяти с атрибутом, например, PAGE_READONLY) и ничего не мешает ему это выполнить. Таким образом, менеджер памяти остается в стороне не участвует в процессе...
-
1Тоненбаум "Операционные системы". Там хорошо описаны механизмы защиты памяти. – iluxa1810 21 янв '19 в 7:37
3 ответа
Этот механизм действует на уровне процессора. Процесс работает с линейным адресом, процессор же через таблицу страниц преобразует его в физический, одновременно проверяя разрешения. Если разрешения страницы и команды не совпали, то вызывается специальная функция ОС, которая уже решает что делать.
Например, если страница помечена как ReadOnly, это может быть не только нарушением доступа, но и частью механизма Copy-On-Write, и тогда ОС сделает копию страницы с нужными атрибутами, подправит таблицу адресов так, чтобы тот же линейный адрес преобразовывался в новый физический и вернет управление на команду, вызвавшую ошибку.
UPD про атрибуты, и почему у аллокатора их больше чем у сегмента.
Атрибуты сегмента хранятся в регистрах процессора.
Атрибуты страницы памяти (для x86 это кусок в 4096 байт) хранятся в специальной структуре - таблице страниц. Менеджер памяти Windows работает со страницами и любой выделяемых им регион всегда выровнен по границам страниц памяти. Аллокатор ОС задает атрибуты страниц, а процессор их проверяет при каждом доступе к памяти из пользовательского режима.
UPD2 Как уточнил Fat-Zer, атрибуты менеджера памяти и атрибуты страницы - не одно и то же. Разные атрибуты менеджера памяти могут преобразовываться в одинаковые атрибуты страниц, т.к. первые - это логический смысл набора атрибутов, а вторые - как их реализовывать физически.
-
Из ответа не совсем понятно, как так получается, что "их (атрибутов в Windows) гораздо больше, чем можно было бы задать для сегмента памяти" – andreymal 21 янв '19 в 8:17
-
1поправлю малость: запись в страницу с
PAGE_READONLY
— это толькоAccess Violation
т.к. это чисто софтверный логический флаг и он ни как не может быть частью реализации CoW'а, а вот для страницы с установленным битомR/W
=0
в PTE эти рассуждения как раз верны. – Fat-Zer 21 янв '19 в 9:32 -
-
1Атрибуты сегмента НЕ хранятся в регистрах. Вернее все немного сложнее. Они НЕ хранятся в доступных регистрах, там только селектор сегмента. Атрибуты лежат в дескрипторе сегмента, в таблице сегментов (глобальной или локальной). Но для быстродействия атрибуты как сегментов так и страниц кешируются в теневой части регистров – Mike 21 янв '19 в 9:44
Поскольку процессор может встретить инструкцию: записать такие данные по такому адресу (даже, если этот адрес относится к региону, выделенному менеджером памяти с атрибутом, например, PAGE_READONLY) и ничего не мешает ему это выполнить. Таким образом, менеджер памяти остается в стороне не участвует в процессе...
На том уровне приоритета, на котором работает пользовательская программа, процессор не может получить доступ к регистрам MMU. Стало быть при попытке записать в страницу памяти, помеченную как PAGE_READONLY возникнет системное прерывание.
Недавно обсуждали эту и смежные темы. Вот ссылка:
Как исполняется машинный код и как система ограничивает его права?
Как осуществляется контроль доступа по тому или иному адресу с точки зрения обработки процессором кода процесса.
Основной механизм контроля доступа — на основе установки битов защиты страниц в PTE (Page Table Entry). Возможности защиты памяти на уровне сегментов/селекторов практически нигде не используются и практически все 32/64-битные ОС эмулируют простую плоскую модель памяти как для процессов так и для ядра загружая в селекторные регистры заглушки, которые просто адресуют всю доступную память.
Основные биты PTE, которые используются менеджером памяти для контроля доступа:
Смещение
| Мнемоника (расшифровка)
| | Описание
| | |
0 P (Present) Присутствует ли страница в памяти
1 R/W (Read/Wright) Если =0, то страница защищена от записи
2 U/S (User/Supervisor) Выставляется в =0 для защиты памяти ядра*
...
# Также в режиме PAE или amd64, когда используются 64-х битные PTE есть ещё один бит:
63 NX (No eXecute) Если =1, то загрузка инструкций из страницы запрещена**
* далее рассматривается только управление памяти пользовательскими процессами, поэтому подразумевается, что он =1
, здесь бит U/S
упомянут только ради справки
** на intel'овских процессорах он появился только с приходом i686 (Pentium4+); весёлые intel'овские инженеры называют этот бит XD
Соответственно защита от исполнения данных будет работать только на amd64 или в PAE-режиме.
Непонятно, на каком этапе может включаться в работу этот менеджер памяти?
Менеджер памяти обычно вступает в игру в двух случаях:
- При запросе на выделения/освобождения памяти. При выделении он устанавливает для каждой страницы региона соответствующие биты. При освобождении, соответственно, помечает все страницы региона в PTE как отсутствующие.
- При страничном прерывании. При отсутствии специфических условий он посылает исключение
Access Violation
, но также программно реализует особое поведение, если страница вытеснена в файл подкачки, а также логику работы, если для региона установлены флагиPAGE_GUARD
,PAGE_WRITECOPY
или что-то ещё необычное.
При этом менеджер памяти оперирует регионами (сознательно избегаю здесь термина сегмент), а не отдельными страницами. И хранит соответствующие настройки для них
Примеры соответствия битов защиты страниц при выставлении флагов регионов
Флаг P R/W NX
PAGE_NOACCESS 0 ? ?
PAGE_READONLY 1 0 1
PAGE_READWRITE 1 1 1
PAGE_EXECUTE 1 0 0
PAGE_EXECUTE_READ 1 0 0
PAGE_EXECUTE_READWRITE 1 1 0
PAGE_GUARD 0 ? ?
PAGE_WRITECOPY 1 0 ?
Немного описания логики работы
Как видно из таблицы с точки зрения процессора страницы регионов с PAGE_NOACCESS
, PAGE_GUARD
(а также страницы вытесненные в файл подкачки). Разное поведение обеспечивается здесь менеджером памяти при страничном прерывании, для PAGE_NOACCESS посылается исключение Access Violation
, для вытесненной страницы происходит её загрузка, а для PAGE_GUARD
какая-то своя логика.
Аналогично страницы с PAGE_WRITECOPY | PAGE_READWRITE
и PAGE_READONLY
: первые при страничном прерывании вызывают копирование страницы, а вторые — Access Violation
.
Также неразличимы PAGE_EXECUTE
и PAGE_EXECUTE_READ
. Здесь сложнее сказать, зачем их разделили. Возможно, прицел был на какую-то сферическую архитектуру в вакууме, а возможно, есть какие-то внутренние эвристики, которые ведут себя для них по-разному. В любом случае PAGE_EXECUTE
не защищает от чтения из страницы.
Поскольку процессор может встретить инструкцию: записать такие данные по такому адресу (даже, если этот адрес относится к региону, выделенному менеджером памяти с атрибутом, например, PAGE_READONLY) и ничего не мешает ему это выполнить. Таким образом, менеджер памяти остается в стороне не участвует в процессе...
Как уже говорил выше, вся обработка идёт через страничное прерывание: если страница, в которую производится запись относится к региону PAGE_READONLY
, то в PTE для неё установлен бит R/W
=0. Соответственно при его обработке как раз управление и передаётся менеджеру памяти.
Дисклеймер
Всё вышеописанное стоит снабдить здоровой порцией оборотов «скорее всего» и «наверняка» т.к., во-первых, Windows — это ОС с закрытым исходным кодом и нет гарантий, что она на самом деле работает так как описано в документации и книжках про неё, а, во-вторых, я не занимался глубоким анализом внутреннего устройства оной и большинство моих выводов основаны на здравом смысле и аналогии с другими ОС (чего уж там греха таить, в первую очередь — Linux).