T1055.014: VDSO 劫持

摘要

攻击者可能通过 VDSO 劫持将恶意代码注入进程，以规避基于进程的防御，并可能提升权限。虚拟动态共享对象（vdso）劫持是一种在另一个活动进程的地址空间中执行任意代码的方法。 VDSO 劫持涉及重定向对动态链接共享库的调用。内存保护可能阻止通过 [Ptrace System Calls](https://attack.mitre.org/techniques/T1055/008) 向进程写入可执行代码。然而，攻击者可以劫持从 vdso 共享对象映射到进程中的系统调用接口代码桩，以执行系统调用来打开并映射恶意共享对象。随后可以通过修补存储在进程全局偏移表（该表存储已映射库函数的绝对地址）中的内存地址引用来重定向进程的执行流，从而调用该代码。(Citation: ELF Injection May 2009)(Citation: Backtrace VDSO)(Citation: VDSO Aug 2005)(Citation: Syscall 2014) 在另一个进程的上下文中运行代码可能允许访问该进程的内存、系统/网络资源，并可能获得提升的权限。通过 VDSO 劫持进行的执行也可能规避安全产品的检测，因为执行被掩盖在合法进程之下。