47、硬件虚拟化与相似性搜索技术解析

硬件虚拟化与相似性搜索技术解析

1. 受控通道攻击检测

在当今的计算机安全领域，受控通道攻击成为了一个日益严峻的威胁。为了应对这一挑战，研究人员采用了基于硬件虚拟化的方法来进行检测。

1.1 PT监控机制

研究人员通过遍历目标页表（PT），将页号提取出来并存储在哈希表中，以便后续的快速搜索。当用户输入特定字符（如‘m’）时，控制流会跳转到特定页面的指令处。在遍历页表过程中，如果发现页面不存在，在执行新的页面错误（#PF）处理程序时，会修改客户物理地址0x79599028处的页表项（PTE）值。攻击者准备清除例程中的保留位时，会陷入虚拟机管理程序（Hypervisor），并留下相应记录。随着操作的进行，最终在地址0x79599028处形成了值的变化链：0x8000042f9c025→0x42f9c025→0x8000042f9c025。此外，还发现了如0x79599030等其他可疑的客户物理地址（GPA），由此可以判断客户操作系统遭受了受控通道攻击。

graph TD;
    A[用户输入字符] --> B[控制流跳转];
    B --> C{页面是否存在};
    C -- 不存在 --> D[修改PTE值];
    D --> E[攻击者操作];
    E --> F[陷入Hypervisor];
    F --> G[记录值变化];

1.2 性能测试

为了评估该检测方法对虚拟机（VM）的性能影响，使用UnixBench 5.1.3作为基准测试套件，共进行了25项性能测试。测试结果表明，在启用检测