[发明专利]一种基于Xen虚拟化平台的漏洞热修复方法

摘要

本发明涉及一种基于Xen虚拟化平台的漏洞热修复方法。该方法通过特权域Dom0修复Xen平台漏洞，无需重启机器和暂停平台上虚拟机的运行，实现了基于Xen的虚拟化平台漏洞热修复功能；该方法通过特权域Dom0完成补丁的插入和应用，保证了补丁的可控性和安全性；该方法中新增的Xen超级调用操作，用来实现Xen与Dom0间通信，在补丁插入前和插入后分别设置标志位，不包含补丁的增删改查操作，避免了恶意攻击者利用虚拟机申请超级调用的方式破坏Xen内核函数。本发明能够准确地修复虚拟化平台漏洞，无需重启机器，保证了虚拟化平台上虚拟机的正常运行，且利用Dom0进行修复更加安全。

主权项

1.一种基于Xen虚拟化平台的漏洞热修复方法，其特征在于，包括以下步骤：/n1)根据Xen系统的e820表计算Xen物理内存起始地址；/n2)根据计算出的物理内存起始地址及Xen内存分布，计算待修复函数的虚拟地址所映射到的物理地址；/n3)通过特权域Dom0获取补丁机器码，并将补丁写入内存，记录补丁函数所在物理内存地址；/n4)特权域Dom0使用超级调用通知Xen有补丁需要插入；/n5)Xen处理特权域Dom0的超级调用请求，通知Dom0插入补丁；/n6)补丁插入成功后，特权域Dom0使用超级调用通知Xen补丁插入完成，即完成漏洞热修复；/n虚拟机运行过程中不断产生超级调用请求和VMEXIT、VMENTRY操作，其中VMEXIT是指虚拟机执行特权指令时，需要陷入到Xen中由Xen处理；Xen执行完特权指令后将结果返回到虚拟机中，执行VMENTRY操作切换到虚拟机中运行；/n在补丁插入前和插入后分别设置标志位，用于保证插入补丁过程中待修复函数正确运行，即：Xen首先设置标志位，然后通知Dom0插入补丁；在补丁插入完成后，Xen重置标志位；/n所述标志位包括livepatch_work和works_to_do，分别用来标识当前有补丁需要插入和正在执行补丁插入操作；为避免补丁插入过程中待修复函数被调用，在Xen的VMEXIT处理函数中首先判断livepatch_work标志位，若被设置，则存在补丁需要插入，继续判断works_to_do标志位，若被设置，则存在CPU正在执行补丁插入操作，此时暂停该VMEXIT处理过程，等待补丁插入操作完成，同时调度其他虚拟机运行；补丁插入完成后，Xen重置标志位livepatch_work和works_to_do，继续被暂停的VMEXIT处理过程。/n