[发明专利]一种针对虚拟化超级调用函数的漏洞热修复方法

说明书

本发明涉及一种针对虚拟化超级调用函数的漏洞热修复方法。该方法包括：1)根据Xen系统的e820表计算Xen物理内存起始地址；2)根据计算出的Xen物理内存起始地址及Xen内存分布，计算超级调用表的虚拟地址所映射到的物理地址；3)通过特权域Domain0获取补丁机器码，并将补丁写入内存，记录补丁函数的物理地址；4)根据待修复的超级调用处理函数对应的超级调用号，计算待修复的超级调用处理函数在超级调用表中对应的物理地址；5)通过特权域Domain0更新超级调用表，从而实现对超级调用处理函数的漏洞热修复。本发明能够准确地修复虚拟化平台漏洞，无需重启机器，保证了虚拟化平台上虚拟机的正常运行。

技术领域

本发明属于云计算安全技术领域，涉及一种虚拟化平台漏洞修复的方法，特别涉及虚拟化平台下超级调用的漏洞热修复方法。

背景技术

随着互联网技术的快速发展，云计算作为一种低成本的计算与通信模式迅速崛起。中国信息通信研究院2016年9月在可信云大会上最新发布的《云计算白皮书(2016年)》显示，2010年至今全球云计算市场规模持续平稳扩增。云计算是指应用以服务形式通过互联网交付使用，并且数据中心的硬件和软件能够提供这些服务。近年来，微软、亚马逊、谷歌、IBM等大型互联网公司都相继发展了自己的云计算业务。国内的阿里云、百度云、腾讯云和移动云等多种形式的云计算服务正不断涌现。虚拟化技术作为云计算的基本组件，是支撑云计算最重要的技术基石。

虚拟化带来了一定程度的可自定义性和可控性，实质上是一种创建不同计算环境的技术。三种最为常用的虚拟化技术是基于软件的完全虚拟化、硬件辅助虚拟化及类虚拟化技术。虚拟化技术经过多年的发展，出现了很多成熟的产品，应用也从最初的服务器到了桌面等更宽的领域。虚拟化软件的主流厂商包括VMware、Xen、KVM及Microsoft。

云计算和虚拟化技术飞速发展的同时，也不可避免的带来了很多安全问题，利用虚拟化平台漏洞进行攻击的恶意行为层出不穷，严重损害了云服务厂商和云服务使用者的利益。漏洞一旦曝光，为了不影响业务安全，需要云计算公司对漏洞进行快速修复。目前存在冷补丁和热修复两种漏洞修复方式。所谓冷补丁修复，指修改系统源码后重新编译源码并重新启动服务器的方式。重启过程中，上层全部客户虚拟机需要宕机，用户业务被中断10至30分钟。可见，重启服务器势必会影响到客户的正常业务，有些甚至是致命的影响。而不影响虚拟机业务运行的漏洞热修复技术需考虑复杂组件的结合，难度极大。现有的少数热修复技术不能保证百分百不重启服务器，同样需要暂停所有虚拟机的运行，修复效果不理想。

Xen安全社区(Xen Security Advisories)最新公布的漏洞报告显示，Xen虚拟化平台漏洞2012年至2016年持续增加。截止2017年2月，Xen安全社区已公布了210个Xen内核漏洞，其中CVE(Common Vulnerabilities and Exposures)漏洞库披露的Xen高危漏洞196个，而由于超级调用函数问题导致的漏洞高达半数以上。超级调用是Xen虚拟化平台下重要的通信机制，其漏洞严重影响了虚拟化平台的可用性。因此有必要提出一种虚拟化平台超级调用函数漏洞热修复的方法，高效的修复虚拟化平台超级调用函数漏洞，避免恶意攻击的发生。

发明内容

针对虚拟化平台漏洞修复问题，本发明提出了一种虚拟化超级调用函数的漏洞热修复方法。在对Xen虚拟化平台进行环境搭建、使用及源码分析后，可以发现Xen虚拟化平台下存在特权域Domain0，Domain0的DMA操作可以访问Xen内存，同时Xen下超级调用函数存放在超级调用表内，本发明主要利用特权域Domain0更新Xen下超级调用表对超级调用函数漏洞进行内存修复。

本发明采用的技术方案如下：

一种针对虚拟化超级调用函数的漏洞热修复方法，其步骤包括：

1)根据Xen系统的e820表计算Xen物理内存起始地址，其中Xen系统的e820表为系统物理内存分布表，在Xen启动过程中生成并输出到系统日志中；