Linux下mmap映射/dev/mem的安全防护及替代方案咨询

1. 继续使用mmap()的安全方案及风险必要性分析 #

风险必要性判断 #

首先，/dev/mem本身要求root权限才能打开（默认权限为root:root 0600），普通用户进程无法访问。如果系统中所有拥有root权限的进程都是可信的，那么你担心的跨进程访问安全问题实际发生的概率极低，必要性不大。但如果存在不可信的root进程（比如被入侵的恶意进程），则确实存在被篡改或读取敏感硬件区域的风险。

安全优化方案 #

• 严格控制/dev/mem权限：确保其权限保持默认的0600，禁止普通用户或非必要进程获取访问权限。
• 缩短映射生命周期：仅在需要读写时建立映射，完成操作后立即调用munmap()解除映射，最小化暴露窗口。
• 动态调整内存保护属性：利用mprotect()在不需要写入时将映射区域改为PROT_READ，需要写入时再临时切换为PROT_READ|PROT_WRITE，降低误写或恶意写入的可能。
• 进程权限降级：映射完成后，若进程后续不需要root权限，可通过setuid()/setgid()降权，或仅保留CAP_SYS_RAWIO能力，减少进程被攻陷后的影响范围。
• 环境隔离：在容器、虚拟机等隔离环境中运行进程，进一步限制其他进程访问同一硬件区域的可能。

2. 不使用mmap()的实现方案 #

可以直接通过read()/write()（或pread()/pwrite()）系统调用操作/dev/mem的文件描述符，无需建立内存映射：

基础实现示例 #

#include <fcntl.h>
#include <unistd.h>
#include <stdint.h>

int main() {
    int mfd = open("/dev/mem", O_RDWR | O_SYNC);
    if (mfd == -1) {
        // 错误处理：perror("open /dev/mem failed");
        return -1;
    }

    // 读取offset处的4字节数据
    uint32_t data;
    ssize_t ret = pread(mfd, &data, sizeof(data), offset);
    if (ret != sizeof(data)) {
        // 错误处理
        close(mfd);
        return -1;
    }

    // 修改数据后写回
    data = 0x12345678;
    ret = pwrite(mfd, &data, sizeof(data), offset);
    if (ret != sizeof(data)) {
        // 错误处理
        close(mfd);
        return -1;
    }

    close(mfd);
    return 0;
}

注意事项 #

• 效率问题：每次读写都需要触发系统调用，相比mmap的直接内存访问，效率更低，不适合高频、大尺寸的读写场景。
• 对齐要求：/dev/mem的读写通常要求按页对齐（多数系统页大小为4KB），若操作非对齐地址或跨页区域，需自行分块处理。
• 权限要求：同样需要root权限或CAP_SYS_RAWIO能力才能打开/dev/mem。

内容的提问来源于stack exchange，提问作者Jofee