1. 课程导论：KASLR 是什么？为什么需要 KASLR？

1.1 什么是 KASLR？

KASLR（Kernel Address Space Layout Randomization，内核地址空间布局随机化）是一种内核安全缓解技术。它在每次系统启动时，将内核映像（包括代码段、数据段、静态页表等）加载到一个随机的物理地址和虚拟地址上，从而打破攻击者对内核内存布局的确定性依赖。

简单来说，KASLR 让内核的“家”每次都在不同的位置，攻击者无法通过硬编码地址来精准跳转到内核中的特定函数或数据结构。

1.2 为什么需要 KASLR？

在没有 KASLR 的内核中，内核代码段、数据段的起始地址是固定的（例如 x86_64 架构下传统内核起始地址为 0xffffffff81000000）。这种确定性为攻击者提供了极大的便利：

• 绕过 NX/DEP： 即使开启了数据执行保护，攻击者仍可通过 ROP/JOP 等技术，利用已知的内核 gadget 地址构造攻击链。
• 降低利用门槛： 攻击者无需信息泄露漏洞即可直接使用硬编码地址，大幅降低漏洞利用的复杂度。
• 模块化攻击： 内核模块的加载地址也相对固定，攻击者可以针对特定模块地址进行攻击。

KASLR 通过引入随机化，强制攻击者必须首先通过信息泄露漏洞获取内核基址，才能进行后续攻击，显著提高了利用成本。

1.3 KASLR 在 Linux 安全体系中的位置

KASLR 是 Linux 内核纵深防御体系中的关键一环，位于“内存安全”层。它与以下技术协同工作，形成多层防护：

KASLR 位于“启动时”这一关键时间窗口，它决定了整个内核生命周期内的内存布局基础。如果 KASLR 被绕过，后续的 SMEP/SMAP 等运行时保护虽然仍有效，但攻击者已经获得了关键的地址信息，可以更精准地构造攻击载荷。

1.4 KASLR 随机化范围与粒度

KASLR 并非只随机化内核代码段的起始地址，它涵盖多个内存区域的随机化：

• 物理基地址随机化： 内核映像在物理内存中的加载位置随机化。
• 虚拟基地址随机化： 内核映射到虚拟地址空间的位置随机化（x86_64 下通常为 __START_KERNEL_map 区域的偏移）。
• 模块地址随机化： 内核模块的加载地址也进行独立随机化（Module ASLR）。
• 页表偏移随机化： 固定映射页表（Fixmap）和 vmalloc 区域的起始偏移也可能随机化。

1.5 KASLR 启动流程概览

KASLR 的实现贯穿 Linux 内核启动的早期阶段，从引导加载程序（Bootloader）到内核解压，再到内核初始化。下面是一个简化的启动流程示意图：

1.6 KASLR 的局限性

尽管 KASLR 是重要的安全机制，但它并非无懈可击。理解其局限性有助于我们更全面地评估系统安全：

• 信息泄露依赖： KASLR 无法防御已经具备内核信息泄露能力的攻击者。一旦基址被泄露，随机化即失效。
• 侧信道攻击： 如 Prefetch 侧信道、时序攻击等，可以在不触发显式信息泄露的情况下推断出内核地址。
• 熵值有限： 在 64 位系统上，虽然虚拟地址空间巨大，但实际随机化范围受限于物理内存大小和内核对齐要求，通常只有 10~13 位熵，暴力枚举在理论上可行（虽然代价高昂）。
• 不保护所有内存： KASLR 主要随机化内核代码段和静态数据段，对于动态分配的内存（如 slab 缓存、vmalloc 区域）的随机化效果有限，需要其他机制（如 SLAB_FREELIST_RANDOM）配合。