Alibaba Cloud Linux:KFENCE を使用したカーネルメモリ汚染の検出

ブートパラメーター kfence.sample_interval を追加します。<sample-interval> をサンプリング間隔 (ミリ秒単位) に置き換えます。例： 100 = 100 ms ごと。

   sudo grubby --update-kernel=/boot/vmlinuz-$(uname -r) --args="kfence.sample_interval=<sample-interval>"

(オプション) パラメーター kfence.booting_max を追加して、合計システムメモリに基づいて KFENCE のメモリを制限します。<booting-max> を 0-128M:0,128M-256M:1M,256M-:2M のようなセグメント表記文字列に置き換えます。

   sudo grubby --update-kernel=/boot/vmlinuz-$(uname -r) --args="kfence.booting_max=<booting-max>"

設定を有効にするには、インスタンスを再起動してください。

kfence.sh という名前のスクリプトを作成します。このスクリプトは、アクティブなスラブオブジェクトをカウントし、プールのサイズを決定し、他のスラブとオーダー 0 ページのモニタリングを無効にした後、指定されたスラブのフルモードモニタリングを有効にします。

   #!/bin/bash
   # 使用方法：./kfence.sh kmalloc-64

   SLAB_PREFIX=/sys/kernel/slab
   MODULE_PREFIX=/sys/module/kfence/parameters

   if [ $# -eq 0 ]; then
   	echo "err: please input slabs"
   	exit 1
   fi

   # スラブが存在するかどうかを確認します
   for i in $@; do
   	slab_path=$SLAB_PREFIX/$i
   	if [ !  -d $slab_path ]; then
   		echo "err: slab $i not exist!"
   		exit 1
   	fi
   done

   # num_objects を計算します
   sumobj=0
   for i in $@; do
   	objects=($(cat $SLAB_PREFIX/$i/objects))
   	maxobj=1
   	for ((j=1; j<${#objects[@]}; j++)); do
   		nodeobj=$(echo ${objects[$j]} | awk -F= '{print $2}')
   		[ $maxobj -lt $nodeobj ] && maxobj=$nodeobj
   	done
   	((sumobj += maxobj))
   done
   echo "recommend num_objects per node: $sumobj"

   # kfence のステータスを確認します
   if [ $(cat $MODULE_PREFIX/sample_interval) -ne 0 ]; then
   	echo "kfence is running, disable it and wait..."
   	echo 0 > $MODULE_PREFIX/sample_interval
   	sleep 1
   fi

   # すべてのスラブのモニタリングを無効化します
   for file in $SLAB_PREFIX/*
   do
   	(echo 0 > $file/kfence_enable) 2>/dev/null || echo 1 > $file/skip_kfence
   done

   # order0 ページのモニタリングを無効化します
   echo 0 > $MODULE_PREFIX/order0_page

   # 設定したスラブのモニタリングを有効化します
   for i in $@; do
   	(echo 1 > $SLAB_PREFIX/$i/kfence_enable) 2>/dev/null || echo 0 > $SLAB_PREFIX/$i/skip_kfence
   done

   # num_objects とノードモードを設定します
   echo $sumobj > $MODULE_PREFIX/num_objects
   echo node > $MODULE_PREFIX/pool_mode

   # kfence を開始します
   echo -1 > $MODULE_PREFIX/sample_interval
   if [ $?  -ne 0 ]; then
   	echo "err: kfence enable fail!"
   	exit 1
   fi
   echo "kfence enabled!"

監視するスラブタイプを指定してスクリプトを実行します。

   sudo bash ./kfence.sh kmalloc-64