Faulty驱动：错误注入与KASAN调试

探索Linux内核驱动中的错误注入与调试技术

引言

在Linux内核驱动开发中，错误是不可避免的。为了提升驱动程序的稳定性和安全性，我们需要学习如何故意引入错误，并利用调试工具来捕捉和修复它们。本章将介绍如何编写一个具有故意错误的驱动（称为"Faulty"驱动），并使用KASAN（Kernel Address SANitizer）工具来检测内存越界等问题。

什么是Faulty驱动？

Faulty驱动是一个故意包含错误的Linux内核模块，用于模拟常见的内存错误，如：

通过故意引入这些错误，我们可以学习如何使用调试工具来识别和修复它们。

KASAN简介

KASAN（Kernel Address SANitizer）是一个动态内存错误检测工具，用于发现内核中的内存访问错误。它通过编译时插桩和运行时检查来捕获以下错误：

KASAN在Linux内核中广泛使用，是驱动开发者的重要调试工具。

编写Faulty驱动

下面是一个简单的Faulty驱动示例，它故意包含一个内存越界写入错误：

#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/fs.h>
#include <linux/uaccess.h>

#define DEVICE_NAME "faulty"
#define BUFFER_SIZE 10

static char device_buffer[BUFFER_SIZE];
static int major_number;

static int device_open(struct inode *inode, struct file *file)
{
    printk(KERN_INFO "Faulty device opened\n");
    return 0;
}

static int device_release(struct inode *inode, struct file *file)
{
    printk(KERN_INFO "Faulty device closed\n");
    return 0;
}

static ssize_t device_write(struct file *file, const char __user *buffer, size_t length, loff_t *offset)
{
    int bytes_to_copy = length;
    
    // 故意错误：如果写入长度超过缓冲区大小，会导致越界写入
    if (bytes_to_copy > BUFFER_SIZE)
        bytes_to_copy = BUFFER_SIZE;
    
    // 复制用户数据到内核缓冲区（可能越界）
    if (copy_from_user(device_buffer, buffer, bytes_to_copy))
        return -EFAULT;
    
    printk(KERN_INFO "Faulty: wrote %zu bytes\n", bytes_to_copy);
    return bytes_to_copy;
}

static struct file_operations fops = {
    .open = device_open,
    .release = device_release,
    .write = device_write,
};

static int __init faulty_init(void)
{
    major_number = register_chrdev(0, DEVICE_NAME, &fops);
    if (major_number < 0) {
        printk(KERN_ALERT "Faulty failed to register a major number\n");
        return major_number;
    }
    printk(KERN_INFO "Faulty module loaded with major number %d\n", major_number);
    return 0;
}

static void __exit faulty_exit(void)
{
    unregister_chrdev(major_number, DEVICE_NAME);
    printk(KERN_INFO "Faulty module unloaded\n");
}

module_init(faulty_init);
module_exit(faulty_exit);

MODULE_LICENSE("GPL");
MODULE_AUTHOR("Your Name");
MODULE_DESCRIPTION("A faulty driver with intentional bugs");

使用KASAN检测错误

要使用KASAN检测Faulty驱动中的错误，需要重新编译内核并启用KASAN选项：

  1. 配置内核以启用KASAN： 
    make menuconfig
# 进入"Kernel hacking" -> "Memory Debugging" -> "KASan: runtime memory debugger"
  2. 编译并安装新内核
  3. 加载Faulty驱动并测试： 
    insmod faulty.ko
echo "This string is longer than 10 characters" > /dev/faulty
  4. 查看内核日志以获取KASAN错误报告： 
    dmesg | tail -20

KASAN错误报告示例

当KASAN检测到错误时，它会输出详细的错误报告：

BUG: KASAN: slab-out-of-bounds in faulty_write+0xab/0x110 [faulty]
Write of size 36 at addr ffff8880065e000a by task bash/158

CPU: 0 PID: 158 Comm: bash Tainted: G           O      5.10.0 #1
Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.14.0-2 04/01/2014
Call Trace:
 dump_stack+0x107/0x163
 print_address_description.constprop.0+0x1c/0x210
 kasan_report.cold+0x37/0x7c
 faulty_write+0xab/0x110 [faulty]
 vfs_write+0x1c0/0x4b0
 ksys_write+0x108/0x200
 do_syscall_64+0x33/0x40
 entry_SYSCALL_64_after_hwframe+0x44/0xa9

这个报告显示了错误类型（slab-out-of-bounds）、发生错误的函数（faulty_write）、访问大小和地址，以及调用栈跟踪。

错误类型与检测工具

错误类型 描述 检测工具
越界访问 访问数组或缓冲区的边界之外 KASAN, KFENCE
使用已释放内存 访问已经被释放的内存区域 KASAN, KFENCE
内存泄漏 分配内存后未释放 KMEMLEAK
未初始化内存使用 使用未初始化的变量或内存 KMSAN
竞态条件 多个线程同时访问共享资源 KCSAN, Lockdep

软件架构图

用户空间 系统调用接口 Faulty驱动 硬件设备 KASAN检测层 监控系统调用 监控驱动操作 检测 报告

上图展示了KASAN在Linux内核中的工作方式。它位于系统调用接口和驱动程序之间，监控所有的内存访问操作，并在检测到错误时生成详细的报告。

实践建议

提示： 在开发过程中，始终在测试环境中使用调试工具。生产环境不应启用调试功能，以免影响性能。

警告： 错误注入只应在受控的测试环境中进行。切勿在生产系统上使用Faulty驱动或其他包含故意错误的代码。

扩展练习

  1. 修改Faulty驱动，添加use-after-free错误并检测它
  2. 尝试使用KFENCE（另一种内存错误检测工具）检测相同错误
  3. 编写一个脚本自动化测试过程，包括加载驱动、触发错误和收集报告
  4. 研究其他内核调试工具，如KMEMLEAK（内存泄漏检测）和KCSAN（竞态条件检测）
嵌入式系统课