PHP-FPM的私有内存保护：利用mprotect系统调用防止代码段被运行时修改

PHP-FPM 私有内存保护：利用 mprotect 系统调用防止代码段被运行时修改

大家好，今天我们来深入探讨一个关于 PHP-FPM 安全性的话题：如何利用 mprotect 系统调用来保护 PHP-FPM 进程的代码段，防止其在运行时被修改。

PHP作为一种解释型语言，其执行过程依赖于 Zend 引擎。Zend 引擎负责编译和执行 PHP 脚本。虽然 PHP 脚本本身通常不会直接修改内存中的代码段，但在某些情况下，例如利用 PHP 扩展中的漏洞、或者恶意代码注入，攻击者有可能尝试修改 PHP-FPM 进程的代码段，进而控制整个进程，甚至服务器。

mprotect 系统调用提供了一种机制，允许我们改变内存区域的保护属性，例如将其设置为只读，从而阻止写入操作。通过合理地利用 mprotect，我们可以大大提高 PHP-FPM 的安全性。

1. 理解内存保护与 mprotect 系统调用

在现代操作系统中，内存被划分为不同的区域，每个区域都有相应的权限属性，例如可读、可写、可执行。这些权限控制着程序对内存的访问方式。

mprotect 系统调用允许我们修改这些权限。其函数原型如下：

#include <sys/mman.h>

int mprotect(void *addr, size_t len, int prot);

参数说明：

• addr: 要修改保护属性的内存区域的起始地址。必须是页对齐的。
• len: 要修改保护属性的内存区域的长度，以字节为单位。

• prot: 新的保护属性，可以是以下标志的组合（使用位或运算 |）：

  • PROT_READ: 允许读取。
  • PROT_WRITE: 允许写入。
  • PROT_EXEC: 允许执行。
  • PROT_NONE: 不允许任何访问。

返回值：

• 成功时返回 0。
• 失败时返回 -1，并设置 errno。

需要注意的是，mprotect 的一个重要限制是，它只能修改页对齐的内存区域。这意味着 addr 必须是系统页面大小的整数倍，并且 len 也必须是页面大小的整数倍。可以使用 sysconf(_SC_PAGESIZE) 获取系统页面大小。

2. PHP-FPM 进程内存布局

要利用 mprotect 保护 PHP-FPM 的代码段，首先需要了解 PHP-FPM 进程的内存布局。一个典型的 PHP-FPM 进程内存布局大致如下：

内存区域	说明
代码段 (Text)	包含程序的可执行指令。这部分是我们重点保护的对象。
数据段 (Data)	包含已初始化的全局变量和静态变量。
BSS 段	包含未初始化的全局变量和静态变量。
堆 (Heap)	用于动态内存分配，例如使用 malloc 和 new 分配的内存。
栈 (Stack)	用于存储局部变量、函数调用信息等。
共享库 (Shared Libraries)	包含动态链接库的代码和数据。

3. 定位代码段

在 PHP-FPM 进程中，代码段通常包含 PHP-FPM 自身的代码，以及加载的 PHP 扩展的代码。要保护代码段，我们需要确定代码段的起始地址和长度。

有几种方法可以定位代码段：

• /proc/[pid]/maps 文件: 这是一个伪文件，提供了进程的内存映射信息。可以通过读取这个文件，找到标记为可执行的内存区域。
• dladdr 函数: 这是一个 POSIX 标准函数，可以根据函数地址找到函数所在的共享库的信息，包括起始地址和长度。我们可以找到 main 函数的地址，然后使用 dladdr 函数来获取 PHP-FPM 可执行文件的起始地址和长度。

下面是使用 /proc/[pid]/maps 文件定位代码段的示例代码（C 语言）：

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>

int main() {
    pid_t pid = getpid(); // 获取当前进程的 PID
    char maps_file[64];
    sprintf(maps_file, "/proc/%d/maps", pid);

    FILE *fp = fopen(maps_file, "r");
    if (fp == NULL) {
        perror("fopen");
        return 1;
    }

    char line[256];
    while (fgets(line, sizeof(line), fp) != NULL) {
        unsigned long start, end;
        char permissions[5];
        unsigned long offset;
        char dev[8];
        unsigned long inode;
        char pathname[128];

        if (sscanf(line, "%lx-%lx %s %lx %s %ld %s", &start, &end, permissions, &offset, dev, &inode, pathname) == 7) {
            if (strchr(permissions, 'x') != NULL) { // 查找包含 'x' (可执行) 的内存区域
                printf("Code segment found:n");
                printf("  Start address: 0x%lxn", start);
                printf("  End address: 0x%lxn", end);
                printf("  Size: %lu bytesn", end - start);
                printf("  Pathname: %sn", pathname);
                // 这里可以添加代码，将 start 和 end 存储起来，后续用于 mprotect
            }
        }
    }

    fclose(fp);
    return 0;
}

这段代码读取 /proc/[pid]/maps 文件，并查找包含 ‘x’ 权限的内存区域。找到后，打印起始地址、结束地址、大小和路径名。

下面是使用 dladdr 函数定位代码段的示例代码（C 语言）：

#include <stdio.h>
#include <stdlib.h>
#include <dlfcn.h>

int main() {
    Dl_info info;
    if (dladdr(main, &info) == 0) {
        perror("dladdr");
        return 1;
    }

    printf("Code segment found using dladdr:n");
    printf("  Base address: %pn", info.dli_fbase);
    printf("  File name: %sn", info.dli_fname);

    // 注意：dladdr 只能获取起始地址，无法直接获取代码段的大小。
    // 需要通过其他方式获取，例如读取 /proc/[pid]/maps 文件。

    return 0;
}

这段代码使用 dladdr 函数获取 main 函数所在共享库的信息，并打印库的起始地址和文件名。需要注意的是，dladdr 只能获取起始地址，无法直接获取代码段的大小。 需要结合 /proc/[pid]/maps 文件来确定完整的代码段大小。

4. 使用 mprotect 保护代码段

确定代码段的起始地址和长度后，就可以使用 mprotect 系统调用将其设置为只读。

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <sys/mman.h>
#include <errno.h>

// 假设已经通过某种方式获取了 code_start 和 code_size
unsigned long code_start;
size_t code_size;

// 函数，将地址对齐到页面大小
unsigned long align_to_page_size(unsigned long addr) {
    long page_size = sysconf(_SC_PAGESIZE);
    if (page_size == -1) {
        perror("sysconf(_SC_PAGESIZE)");
        exit(1);
    }
    return addr & ~(page_size - 1); // 向下对齐
}

int protect_code_segment(unsigned long start, size_t size) {
    long page_size = sysconf(_SC_PAGESIZE);
    if (page_size == -1) {
        perror("sysconf(_SC_PAGESIZE)");
        return 1;
    }

    // 1. 将起始地址对齐到页面大小
    unsigned long aligned_start = align_to_page_size(start);

    // 2. 计算需要保护的总长度 (对齐后的起始地址 + 原始大小)
    size_t aligned_size = size + (start - aligned_start);

    // 3. 确保大小是页面大小的整数倍
    if (aligned_size % page_size != 0) {
        aligned_size += (page_size - (aligned_size % page_size));  // 向上对齐
    }

    // 使用 mprotect 将代码段设置为只读
    if (mprotect((void *)aligned_start, aligned_size, PROT_READ | PROT_EXEC) == -1) {
        perror("mprotect");
        fprintf(stderr, "errno: %dn", errno);
        return 1;
    }

    printf("Code segment protected successfully!n");
    return 0;
}

int main() {
    // 模拟获取 code_start 和 code_size (实际需要通过 /proc/[pid]/maps 或 dladdr 获取)
    // 假设 code_start 为 0x555555554000，code_size 为 10240 字节 (10KB)
    code_start = 0x555555554005;  // 故意不对齐，测试对齐功能
    code_size = 10240;

    if (protect_code_segment(code_start, code_size) != 0) {
        return 1;
    }

    // 尝试写入代码段 (这将会导致 Segmentation Fault)
    // char *code_ptr = (char *)code_start;
    // *code_ptr = 'A';  // 取消注释此行将导致 Segmentation Fault

    return 0;
}

这段代码首先获取系统页面大小，然后将 code_start 对齐到页面大小，并确保 code_size 是页面大小的整数倍。最后，使用 mprotect 将代码段设置为只读和可执行。 代码中包含一个尝试写入代码段的示例，取消注释后将会导致 Segmentation Fault，证明了 mprotect 的保护作用。

关键点:

• 对齐: addr 必须是页对齐的，len 必须是页面大小的整数倍。
• 错误处理: mprotect 可能会失败，需要检查返回值和 errno。
• 权限: PROT_READ | PROT_EXEC 允许读取和执行，但不允许写入。

5. PHP 扩展中的应用

将上述 C 代码集成到 PHP 扩展中，可以自动保护 PHP-FPM 进程的代码段。

首先，创建一个 PHP 扩展的骨架。可以使用 ext_skel 脚本：

./ext_skel --extname=code_protect

然后，修改 code_protect.c 文件，添加代码保护的逻辑。

#ifdef HAVE_CONFIG_H
#include "config.h"
#endif

#include "php.h"
#include "php_ini.h"
#include "ext/standard/info.h"
#include "php_code_protect.h"
#include <unistd.h>
#include <sys/mman.h>
#include <dlfcn.h>
#include <stdio.h>
#include <errno.h>

/* If you declare any globals in php_code_protect.h uncomment this:
ZEND_DECLARE_MODULE_GLOBALS(code_protect)
*/

/* True global resources - no need for thread safety here */
static int le_code_protect;

/* {{{ PHP_INI
 */
/* Remove comments and fill if you need to have entries in php.ini
PHP_INI_BEGIN()
    STD_PHP_INI_ENTRY("code_protect.global_value",      "42", PHP_INI_ALL, OnUpdateLong, global_value, zend_code_protect_globals, code_protect_globals)
    STD_PHP_INI_ENTRY("code_protect.global_string", "foobar", PHP_INI_ALL, OnUpdateString, global_string, zend_code_protect_globals, code_protect_globals, strlen(foobar))
PHP_INI_END()
*/
/* }}} */

// Helper functions
unsigned long align_to_page_size(unsigned long addr) {
    long page_size = sysconf(_SC_PAGESIZE);
    if (page_size == -1) {
        perror("sysconf(_SC_PAGESIZE)");
        exit(1);
    }
    return addr & ~(page_size - 1); // 向下对齐
}

int protect_code_segment(unsigned long start, size_t size) {
    long page_size = sysconf(_SC_PAGESIZE);
    if (page_size == -1) {
        perror("sysconf(_SC_PAGESIZE)");
        return 1;
    }

    // 1. 将起始地址对齐到页面大小
    unsigned long aligned_start = align_to_page_size(start);

    // 2. 计算需要保护的总长度 (对齐后的起始地址 + 原始大小)
    size_t aligned_size = size + (start - aligned_start);

    // 3. 确保大小是页面大小的整数倍
    if (aligned_size % page_size != 0) {
        aligned_size += (page_size - (aligned_size % page_size));  // 向上对齐
    }

    // 使用 mprotect 将代码段设置为只读
    if (mprotect((void *)aligned_start, aligned_size, PROT_READ | PROT_EXEC) == -1) {
        perror("mprotect");
        fprintf(stderr, "errno: %dn", errno);
        return 1;
    }

    php_printf("Code segment protected successfully!n");
    return 0;
}

static PHP_FUNCTION(protect_code)
{
    Dl_info info;
    if (dladdr(protect_code, &info) == 0) {
        php_error_docref(NULL, E_WARNING, "dladdr failed: %s", dlerror());
        RETURN_FALSE;
    }

    // TODO:  需要结合 /proc/[pid]/maps 文件来确定完整的代码段大小。
    // 这里暂时使用一个固定值，实际应该动态获取。
    size_t code_size = 20480; // 20KB

    if (protect_code_segment((unsigned long)info.dli_fbase, code_size) != 0) {
        RETURN_FALSE;
    }

    RETURN_TRUE;
}

/* {{{ PHP_MINIT_FUNCTION
 */
PHP_MINIT_FUNCTION(code_protect)
{
    /* If you have INI entries, uncomment these lines
    REGISTER_INI_ENTRIES();
    */
    return SUCCESS;
}
/* }}} */

/* {{{ PHP_MSHUTDOWN_FUNCTION
 */
PHP_MSHUTDOWN_FUNCTION(code_protect)
{
    /* uncomment this line if you have INI entries
    UNREGISTER_INI_ENTRIES();
    */
    return SUCCESS;
}
/* }}} */

/* {{{ PHP_RINIT_FUNCTION
 */
PHP_RINIT_FUNCTION(code_protect)
{
#if defined(ZTS) && defined(COMPILE_DL_CODE_PROTECT)
    ZEND_TSRMLS_CACHE_UPDATE();
#endif
    return SUCCESS;
}
/* }}} */

/* {{{ PHP_RSHUTDOWN_FUNCTION
 */
PHP_RSHUTDOWN_FUNCTION(code_protect)
{
    return SUCCESS;
}
/* }}} */

/* {{{ PHP_MINFO_FUNCTION
 */
PHP_MINFO_FUNCTION(code_protect)
{
    php_info_print_table_start();
    php_info_print_table_header(2, "code_protect support", "enabled");
    php_info_print_table_end();

    /* Remove comments if you have entries in php.ini
    DISPLAY_INI_ENTRIES();
    */
}
/* }}} */

/* {{{ code_protect_functions[]
 *
 * Every user visible function must have an entry in code_protect_functions[].
 */
const zend_function_entry code_protect_functions[] = {
    PHP_FE(protect_code, NULL)        /* For testing, remove later. */
    PHP_FE_END    /* Must be the last line in code_protect_functions[] */
};
/* }}} */

/* {{{ code_protect_module_entry
 */
zend_module_entry code_protect_module_entry = {
    STANDARD_MODULE_HEADER,
    "code_protect",
    code_protect_functions,
    PHP_MINIT(code_protect),
    PHP_MSHUTDOWN(code_protect),
    PHP_RINIT(code_protect),        /* Replace with NULL if there's nothing to do at request start */
    PHP_RSHUTDOWN(code_protect),    /* Replace with NULL if there's nothing to do at request end */
    PHP_MINFO(code_protect),
    PHP_CODE_PROTECT_VERSION,
    STANDARD_MODULE_PROPERTIES
};
/* }}} */

#ifdef COMPILE_DL_CODE_PROTECT
#ifdef ZTS
ZEND_TSRMLS_CACHE_DEFINE()
#endif
ZEND_GET_MODULE(code_protect)
#endif

这个扩展提供了一个 protect_code 函数，调用它可以保护当前扩展的代码段。

修改 config.m4 文件，添加对 dlfcn 库的依赖：

PHP_ARG_WITH([code_protect], [Whether to enable code_protect support],
    [AS_HELP_STRING([--with-code_protect],
    [Include code_protect support])]
    , [no])

if test "$PHP_CODE_PROTECT" != "no"; then
  PHP_NEW_EXTENSION(code_protect, code_protect.c, $ext_shared, )
  AC_SEARCH_LIB([dlopen], [dl], [], [AC_MSG_ERROR([libdl not found])])
  PHP_ADD_LIBRARY(dl, 1)
fi

编译并安装扩展：

phpize
./configure
make
sudo make install

修改 php.ini 文件，启用扩展：

extension=code_protect.so

现在，可以在 PHP 脚本中调用 protect_code 函数来保护代码段：

<?php
protect_code();
echo "Code protection enabled.n";
?>

6. 潜在问题与注意事项

• 动态链接库: 如果 PHP-FPM 依赖于动态链接库，需要确保这些库的代码段也被保护。
• JIT 编译器: 如果 PHP 使用 JIT 编译器，需要考虑如何保护 JIT 生成的代码。
• 性能影响: mprotect 系统调用可能会引入一定的性能开销，需要进行评估。
• 兼容性: 不同的操作系统和架构可能对 mprotect 的支持有所不同，需要进行测试。
• 调试: 保护代码段后，调试可能会变得更加困难。
• 地址空间布局随机化 (ASLR): ASLR 增加了攻击者定位代码段的难度，可以与 mprotect 结合使用，提高安全性。

表格：mprotect 的优缺点

优点	缺点
有效地防止代码段被运行时修改，提高安全性。	需要对内存布局有深入的了解。
可以与 ASLR 等其他安全机制结合使用。	mprotect 可能会引入一定的性能开销。
实现相对简单，只需要调用一个系统调用。	只能修改页对齐的内存区域，需要进行地址对齐和大小调整。
适用于保护 PHP-FPM 自身的代码和加载的 PHP 扩展的代码。	调试可能会变得更加困难。

7. 更进一步的安全考虑

除了 mprotect，还可以考虑以下安全措施：

• 代码签名: 对 PHP-FPM 可执行文件和 PHP 扩展进行签名，防止恶意代码替换。
• 强制访问控制 (MAC): 使用 SELinux 或 AppArmor 等 MAC 系统，限制 PHP-FPM 进程的权限。
• 定期安全审计: 定期对 PHP-FPM 的配置和代码进行安全审计，发现潜在的漏洞。
• 安全编码实践: 遵循安全编码实践，避免出现常见的安全漏洞，例如缓冲区溢出、SQL 注入等。
• 监控和日志: 监控 PHP-FPM 进程的行为，记录重要的安全事件，例如异常访问、错误日志等。

总结：安全加固需要细致的工作

通过使用 mprotect 系统调用，我们可以有效地保护 PHP-FPM 进程的代码段，防止其在运行时被恶意修改。但是，mprotect 只是安全防御体系中的一部分，还需要结合其他安全措施，才能构建一个更加安全可靠的 PHP-FPM 环境。 务必对安全问题保持敏感，不断学习新的安全技术，并定期进行安全评估。