IOS13 zone_require原理

预览

  Ios13增加了判断对象是否属于zone的安全检查，这将导致以前通过伪造内核对象的漏洞利用手段变得困难了很多，比如ipc_port，伪造的对象通常来自于用户空间，那么在引用这个对象时，xnu引入了zone_require、zone_id_require、zone_owns三个函数来做对象合法性检查。

osfmk/kern/zalloc.c：

[1]处的from_general_submap判断对象的地址是否在整个大的有效范围内。

#define from_general_submap(addr, size) \

[2] 处的zone_has_index才是判断对象是否属于某个特定的zone。通过zone_native_meta_from_addr函数将对象地址转为对应的meta数据结构，meta的zm_index指示的是meta对应的zone在zone_array数组里的索引，这样通过索引加上zone_array数组地址就能判断是否指向了正确的zone地址。

static inline bool

当比对失败时，[3]处调用了zone_require_panic来试图分析是哪种情况造成的并panic系统。

zone_require是zalloc内存分配器提供的kpi接口， 当其他内核子系统需要判断某个object是否合法时要主动调用，因为如果在内存分配器的alloc或free路径里在去判断对象合法性时为时已晚，漏洞攻击已经完成了。

Ios13也是类似的逻辑：

同时还可以发现， 最新的xnu内存分配器对对象、meta、zone的合法性做了极其严格的检查，这些优秀的漏洞缓解方法需要移植到linux中去。

static struct zone_page_metadata *