基于SMM的内存读取

• Hypervisor方案虽可实现无痕内存读取，但易被游戏反作弊系统检测并导致闪退。 — ✓ “三角洲不允许加载了Hypervisor的电脑玩游戏” (0:14)
• 系统管理模式（SMM）从设计之初相对封闭，CPU进入该模式后会挂起操作系统核心、线程和中断。 — ✓ “CPU进入SMM模式后，会挂起操作系统的一切” (0:51)
• 芯片组配置寄存器会锁定SMRAM区域，操作系统无法修改基址或禁用锁定，且无权限直接读取。 — ✓ “芯片组配置寄存器会锁定 SMRAM 区域” (1:12)
• OS只能通过侧信道感知SMM的存在，但无法知晓中间发生的具体操作内容。 — ✓ “OS只能通过侧信道感知，但绝不知道中间发生了什么” (0:51)
• 作者通过修改BIOS在SMRAM模式下发起访问，绕过操作系统对PCIe DMA的一切审计。 — ✓ “我的做法是：修改BIOS，留下后门” (1:27)
• 利用BIOS原生漏洞（如DX层权限）仍会被操作系统察觉，因为执行环境尚未建立。 — ✓ “完写行为还是会被操作系统察觉到” (1:55)
• 直接刷入修改过的BIOS可避免在操作系统中留下漏洞利用痕迹，且使用编程器刷写可规避签名问题。 — ✓ “没有漏洞利用痕迹留在操作系统里” (2:06)
• BIOS空间有限，只需实现最简单的物理内存读取逻辑，其余数据处理交给外部程序。 — ✓ “只需要实现最简单的物理内存读取” (1:32)
• 数据传出方式包括走操作系统通道或利用网卡缓冲区直写，取决于所需的隐蔽程度。 — ✓ “可以走操作系统，也可以网卡缓冲区直写” (1:32)
• 作者提供了预编译的EFI文件和UEFITool组件，用户可自行修补BIOS。 — ✓ “你可以下载我打包好的这些预编译版本” (2:29)
• 实施前需确认主板是否具备BIOS FLBK功能或自行购买编程器。 — ✓ “确定你的主板是否有BIOS FLBK” (2:44)
• 下一步方向为物理调试接口，如英特尔DCI（Direct Connect Interface）。 — ✓ “英特尔的DCI（Direct Connect Interface）” (2:49)
• DCI通过USB3 Debug Cable连接，可直接中断CPU操作并访问系统总线，权限高于SMM。 — ✓ “直接访问系统总线，它的权限比SMM还高” (3:05)
• DCI在软件层面几乎无法防御，但因英特尔管理严格，通常仅适用于老旧设备（如8代酷睿）。 — ✓ “以至于我们可能只能淘到某些老旧的设备” (3:05)

• 0:00 以下为免责声明 / 本视频仅用于学习研究，请勿非法使用 / 破坏反作弊规则可能违反用户协议、法律或损害他人体验 / 也可能会导致您的设备失去保修，无法恢复 / 甚至引发主板的永久性损坏，本视频概不负责 / 以下内容可能会有各种安全社区的非官方叫法
• 0:05 在上上一期，我们聊了通过Hypervisor来实现内存读取 / 成功了，确实可以，但会被检测 / 参考项目： / https://github.com/memN0ps/illusion-rs / https://github.com/wbenny/hvpp / https://github.com/noahware/hyper-reV
• 0:10 我试着用type1 Hypervisor做无痕内存读取，成功了 / 通过UEFI shell加载 / 确实可以读取内存而且相对无痕 / 但三角洲不允许加载了Hypervisor的电脑玩游戏 / 表现为直接闪退，游戏打不开 / 而Hypervisor极难被完全隐藏
• 0:30 究其原因，是因为Hypervisor对操作系统相对可见 / 如图： / Ring 0 / Control Operating System / Apps / VM / Ring 3 / VM / Ring 0 / Hypervisor / Ring -1 / Hardware / CPU Memory NIC Disk
• 0:36 我想我们需要顺着环继续往下
• 0:41 这张图片我想我们已经足够熟悉，不过过于不隐蔽了，我们真正应该介绍的是 / Ring 3 / Ring 2 / Ring 1 / Ring 0 / 内核 / 设备驱动程序 / 设备驱动程序 / 应用程序 / 最低权限 / 最高权限
• 0:46 其实之前他们试图进行VT-d绕过的时候 / 就有人试着改BIOS来进行绕过
• 0:51 SMM，系统管理模式 / 从设计之初就相对封闭 / CPU进入SMM模式后，会挂起操作系统的一切 / 核心、线程、中断之类的，全部冻结 / 处理完了，再恢复 / OS只能通过侧信道感知，但绝不知道中间发生了什么
• 1:12 更重要的是：芯片组配置寄存器会锁定 SMRAM 区域 / 操作系统无法修改基址或禁用锁定 / OS只能通过侧信道感知到SMM的存在 / 但没有任何修改读取相关的权限 / 尽管仍有 SMI 耗时分析等侧信道探测风险 / 但相比之下仍是一个非常不错的选择
• 1:27 我的做法是：修改BIOS，留下后门 / 在SMM模式下发起访问 / 绕过操作系统对PCIeDMA的一切审计

• 读了 1 张图，每张都有描述
• 图上文字 58 行
• 逐字稿 31 段 (206 / 206 s)
• 画面文字 21 行，带出现时间
• 抽帧间隔不超过 20.6 秒
• 没读到：comments not read

样例，第 1 张图 — A black background featuring two lines of white Chinese text. The top line is tilted slightly upwards and reads '基于smm的无痕内存读取'. The bottom line is horizontal and reads 'CPU最高特权的内存读取'. 图上文字开头： “基于smm的无痕内存读取 CPU最高特权的内存读取”