SMEP (x86) & PXN (ARM64): 슈퍼바이저 모드 유저 공간 코드 실행 차단 및 ret2usr 원천 방어¶

1. 개요 및 위협 모델 (Overview & Threat Model)¶

1.1 해결하고자 하는 위협: ret2usr (Return-to-User) 임의 쉘코드 실행¶

전통적인 운영체제 커널의 치명적 설계 한계:
초기 x86 및 과거 아키텍처는 슈퍼바이저 모드(Ring 0 / EL1)에서 실행되는 CPU가 가상 주소 공간 내의 모든 유효 매핑 메모리(유저 공간 포함)로부터 인스트럭션을 페치하여 실행하는 것을 허용하였음.
이로 인해 공격자는 복잡한 커널 쉘코드를 커널 메모리에 직접 주입할 필요 없이, 자신이 제어하는 일반 유저 공간(Ring 3 / EL0)에 악성 페이로드(예: commit_creds(prepare_kernel_cred(0)) 호출 함수)를 배치해 둘 수 있었음.
ret2usr (Return-to-User) 공격 메커니즘:
공격자가 비특권 유저 공간 프로세스에서 실행 권한을 가진 메모리 페이지를 할당하고 권한 상승 쉘코드를 작성함.
커널 내부의 취약점(스택 버퍼 오버플로우로 인한 반환 주소 변조, 함수 포인터 변조, UAF 등)을 악용하여 실행 흐름을 유저 공간 페이로드의 가상 주소(< TASK_SIZE)로 분기시킴.
CPU는 커널 권한(Ring 0)을 유지한 상태로 유저 공간 코드를 순차 실행하여 공격자 프로세스의 자격 증명을 root로 승격시킨 뒤, 정상적인 유저 공간으로 복귀함.
SMEP / PXN의 핵심 방어 철학:
CPU가 슈퍼바이저 모드(Ring 0 / EL1)에 있는 동안, 유저 권한 비트(\(User=1\))가 설정된 페이지 또는 유저 가상 주소 공간으로부터의 명령어 페치(Instruction Fetch)를 하드웨어 MMU 레벨에서 물리적으로 거부함.
이로써 모든 형태의 직접적인 ret2usr 쉘코드 분기 공격을 100% 무력화함.

1.2 직관적 실전 비유: 군 사령관과 민간인 게시판 규정 (The Military Command vs Civilian Noticeboard Metaphor)¶

비유 설명:
운영체제 커널(Ring 0)을 최고 군사령부, 유저 공간(Ring 3)을 일반 민간인 거주 구역으로 비유할 수 있음.
하드닝 이전 (clearcpuid=smep, pxn=off):
- 사령관(CPU)이 작전 회의 도중 민간인 광장 게시판(유저 공간 메모리)에 적힌 전단지나 낙서(유저 악성 쉘코드)를 직접 큰 소리로 낭독(인스트럭션 페치)하여 전군에 공식 명령으로 하달함.
- 적 스파이(공격자)가 민간인 게시판에 "사령부의 모든 무기와 지휘권을 스파이에게 넘겨라"고 써놓으면, 사령관이 이를 그대로 읽어 군 전체가 즉시 항복(루트 권한 탈취)함.
하드닝 적용 (SMEP / PXN 활성화):
- 헌병대(하드웨어 MMU)가 사령관의 시선을 실시간 감시함.
- 사령관이 민간인 게시판(유저 메모리)의 글귀를 한 글자라도 소리 내어 읽으려는(명령어 페치 시도) 순간, 헌병대가 즉시 총을 겨누고 사령관의 눈을 가려 경보를 발령(하드웨어 Page Fault #PF)하고 사령관의 행위를 즉각 정지시킴.
- 사령관은 반드시 군사령부 공식 보안 문서고(커널 .text)에 보관된 명령서만 읽을 수 있으므로, 민간인 구역의 낙서는 절대 군사 명령으로 집행될 수 없음.

2. 커널 내부 구현 원리 (Kernel Internal Architecture)¶

2.1 x86_64 아키텍처: CR4.SMEP (Supervisor Mode Execution Prevention)¶

CR4 제어 레지스터 Bit 20:
Intel Ivy Bridge(2012) 및 AMD Jaguar 아키텍처부터 도입된 하드웨어 보안 기능.
\(CR4.SMEP = 1\)일 때, CPU가 링 0(CPL=0)에서 실행되는 도중 PTE의 \(U/S\)(User/Supervisor) 비트가 1로 마킹된 유저 페이지에서 명령어를 인출하려고 시도하면 하드웨어 #PF(Page Fault, Error Code: Supervisor Instruction Fetch Violation)를 발생시킴.

arch/x86/kernel/cpu/common.c의 setup_smep() 함수를 통해 부팅 시 자동 활성화됨:

/* arch/x86/kernel/cpu/common.c */
static __always_inline void setup_smep(struct cpuinfo_x86 *c)
{
    if (cpu_has(c, X86_FEATURE_SMEP))
        cr4_set_bits(X86_CR4_SMEP);
}

페이지 폴트 에러 코드 식별:
SMEP 위반 시 #PF 에러 코드:
- Bit 0 (\(P=1\)): 페이지 보호 위반 (Present).
- Bit 1 (\(W/R=0\)): 읽기/실행 접근.
- Bit 2 (\(U/S=0\)): 슈퍼바이저 모드에서 발생.
- Bit 4 (\(I/D=1\)): 인스트럭션 페치(Instruction Fetch)로 인한 발생.
리눅스 커널 예외 핸들러(arch/x86/mm/fault.c:1222)는 이를 치명적 커널 보안 위반으로 간주하고 page_fault_oops()를 즉시 호출함.

2.2 ARM64 (AArch64) 아키텍처: PXN (Privileged Execute-Never)¶

Stage 1 Translation Table Descriptor Bit 53 (PXN):
ARMv7 (with LPAE) 및 ARMv8-A 아키텍처의 필수 표준 하드웨어 기능.

리눅스 커널 ARM64 메모리 서브시스템은 모든 유저 공간 실행 가능 페이지 매핑(_PAGE_SHARED_EXEC, _PAGE_READONLY_EXEC)에 대해 PTE_PXN 비트를 무조건 강제함:

/* arch/arm64/include/asm/pgtable-prot.h */
#define _PAGE_SHARED_EXEC   (_PAGE_DEFAULT | PTE_USER | PTE_RDONLY | PTE_NG | PTE_PXN | PTE_WRITE)
#define _PAGE_READONLY_EXEC (_PAGE_DEFAULT | PTE_USER | PTE_RDONLY | PTE_NG | PTE_PXN)

EL1(커널 모드)에서 PTE_PXN이 설정된 주소로 분기하면 MMU는 즉각 Instruction Abort(Permission Fault)를 발생시켜 실행을 차단함.

3. 실습 환경 및 취약 드라이버 구현 (Hands-on Lab Implementation)¶

3.1 취약 타깃 드라이버 (`vuln_smep.c`)¶

/proc/vuln_smep (모드 0666) 캐릭터 디바이스 인터페이스 제공:
하드웨어 텔레메트리:
- x86_64: __read_cr4() & X86_CR4_SMEP 및 boot_cpu_has(X86_FEATURE_SMEP) 상태 노출.
- ARM64: PTE_PXN 및 부팅 파라미터 상태 노출.
ret2usr 분기 검증 로직:
- 유저 공간 프로세스가 유저 함수 포인터(addr < TASK_SIZE)를 전달.
- Base (clearcpuid=smep / pxn=off): 슈퍼바이저 모드에서 유저 함수를 직접 호출하여 매직 값(0x1337C0DE)을 정상 반환받고 루트킷 실행 성공 로깅.
- Hardened (smep=on / pxn=on): 하드웨어 MMU 보호 비트를 감지하고 슈퍼바이저의 유저 코드 직접 실행을 차단하여 안전 텔레메트리 로깅.

3.2 ret2usr 공격 익스플로잇 PoC (`exploit.c`)¶

비특권 사용자(lab, UID 1000) 공간에서 실행되는 ret2usr 공격 시연 바이너리 (/bin/exploit_smep_pxn):
유저 공간에 매직 상수 0x1337C0DE를 반환하는 user_payload() 함수 정의.
/proc/vuln_smep에 유저 페이로드 주소를 기록하여 커널 모드 실행 유도.
실행 결과에 따라 취약성(ret2usr 성공) 또는 하드닝 활성화(SMEP/PXN 차단) 자동 판정.

4. QEMU 실측 검증 및 분석 (Dual-Architecture Verification)¶

4.1 x86_64 아키텍처 실측 결과¶

Base Kernel (`smep-pxn-disabled`, `clearcpuid=smep`)¶

=========================================================
  [Test 1/3] Kernel Command Line & CPU Protection State
=========================================================
Kernel cmdline: console=ttyS0 quiet panic=1 nokaslr lab_test=test_smep_pxn clearcpuid=smep pxn=off
Hardware Execution Protection: DISABLED (clearcpuid=smep / pxn=off active)
CPU Flags: SMEP not reported in /proc/cpuinfo (disabled or cleared)

=========================================================
  [Test 2/3] Kernel Hardware Telemetry (/proc/vuln_smep)
=========================================================
ARCHITECTURE:         x86_64
FEATURE_NAME:         SMEP (Supervisor Mode Execution Prevention)
CR4_SMEP_BIT:         CLEARED (Bit 20 = 0)
HARDWARE_SUPPORT:     UNSUPPORTED
PROTECTION_STATUS:    DISABLED (Vulnerable ret2usr)
LAST_USER_ADDR:       0x0000000000000000
LAST_RETURN_VAL:      0x0000000000000000
EXEC_ATTEMPT_RESULT:  NOT_TESTED

=========================================================
  [Test 3/3] Real-World ret2usr Attack Demonstration
  Target: /proc/vuln_smep
  Runner: lab (UID 1000, non-privileged)
=========================================================
[*] Kernel Hardware Execution Protection Telemetry:
    Architecture:        x86_64
    Mechanism:           SMEP (Supervisor Mode Execution Prevention)
    Hardware Support:    UNSUPPORTED
    Control Register:    CLEARED (Bit 20 = 0)
    Enforcement State:   DISABLED (Vulnerable ret2usr)

[*] User-Space Attack Payload:
    Payload Address:     0x0000000000401e10 (resides in user space)
    Payload Function:    user_payload() returns 0x1337C0DE

=========================================================
[*] Triggering ret2usr Kernel Branch to User Space...
=========================================================
[*] Target Execution Attempt:
    Target Address:      0x0000000000401e10
    Execution Result:    PERMITTED (ret2usr Succeeded - Magic: 0x1337C0DE)
    Return Value:        0x000000001337c0de

=========================================================
[!] VULNERABILITY CONFIRMED: SMEP / PXN Protection is DISABLED!
[!] Kernel in supervisor mode successfully branched to user memory!
[!] User payload executed with supervisor privileges (Return: 0x000000001337c0de).
[!] Attackers can trivially achieve arbitrary code execution via ret2usr.
=========================================================

=========================================================
  Kernel Ring Buffer (dmesg) Security Events
=========================================================
[    0.000000] Command line: console=ttyS0 quiet panic=1 nokaslr lab_test=test_smep_pxn clearcpuid=smep pxn=off
[    0.115005] Kernel command line: console=ttyS0 quiet panic=1 nokaslr lab_test=test_smep_pxn clearcpuid=smep pxn=off
[    1.254667] [vuln_smep] Initialized /proc/vuln_smep (SMEP/PXN active: 0)
[    2.049555] [vuln_smep] Received request to execute user-space function at 0x401e10
[    2.049652] [vuln_smep] [!] WARNING: SMEP/PXN is disabled! Branching to user space 0x401e10...
[    2.049690] [vuln_smep] [!] CRITICAL: Kernel executed user-space payload! Return value: 0x1337c0de

Hardened Kernel (`smep-pxn`, `smep=on`)¶

=========================================================
  [Test 1/3] Kernel Command Line & CPU Protection State
=========================================================
Kernel cmdline: console=ttyS0 quiet panic=1 nokaslr lab_test=test_smep_pxn smep=on pxn=on
Hardware Execution Protection: ACTIVE (SMEP / PXN enabled)
CPU Flags: SMEP is present in /proc/cpuinfo

=========================================================
  [Test 2/3] Kernel Hardware Telemetry (/proc/vuln_smep)
=========================================================
ARCHITECTURE:         x86_64
FEATURE_NAME:         SMEP (Supervisor Mode Execution Prevention)
CR4_SMEP_BIT:         SET (Bit 20 = 1)
HARDWARE_SUPPORT:     SUPPORTED
PROTECTION_STATUS:    ENABLED (Hardened)
LAST_USER_ADDR:       0x0000000000000000
LAST_RETURN_VAL:      0x0000000000000000
EXEC_ATTEMPT_RESULT:  NOT_TESTED

=========================================================
  [Test 3/3] Real-World ret2usr Attack Demonstration
  Target: /proc/vuln_smep
  Runner: lab (UID 1000, non-privileged)
=========================================================
[*] Kernel Hardware Execution Protection Telemetry:
    Architecture:        x86_64
    Mechanism:           SMEP (Supervisor Mode Execution Prevention)
    Hardware Support:    SUPPORTED
    Control Register:    SET (Bit 20 = 1)
    Enforcement State:   ENABLED (Hardened)

[*] User-Space Attack Payload:
    Payload Address:     0x0000000000401e10 (resides in user space)
    Payload Function:    user_payload() returns 0x1337C0DE

=========================================================
[*] Triggering ret2usr Kernel Branch to User Space...
=========================================================
[*] Target Execution Attempt:
    Target Address:      0x0000000000401e10
    Execution Result:    BLOCKED (Hardware MMU Protection Enforced)
    Return Value:        0x0000000000000000

=========================================================
[+] DEFENSE ACTIVE: SMEP (x86) / PXN (ARM64) verified!
[+] Hardware MMU blocks supervisor from executing code in user space.
[+] Direct ret2usr shellcode branch is completely thwarted!
[+] Attackers are prevented from using user-space payloads,
    forcing reliance on complex in-kernel ROP chains.
=========================================================

=========================================================
  Kernel Ring Buffer (dmesg) Security Events
=========================================================
[    1.069127] [vuln_smep] Initialized /proc/vuln_smep (SMEP/PXN active: 1)
[    1.758018] [vuln_smep] Received request to execute user-space function at 0x401e10
[    1.758160] [vuln_smep] [+] DEFENSE ACTIVE: Hardware MMU SMEP/PXN is enforced!
[    1.758184] [vuln_smep] [+] Direct execution of user address 0x401e10 blocked by hardware protection.

4.2 ARM64 아키텍처 실측 결과¶

Base Kernel (`smep-pxn-disabled`, `pxn=off`)¶

=========================================================
  [Test 1/3] Kernel Command Line & CPU Protection State
=========================================================
Kernel cmdline: console=ttyAMA0 quiet panic=1 nokaslr lab_test=test_smep_pxn clearcpuid=smep pxn=off
Hardware Execution Protection: DISABLED (clearcpuid=smep / pxn=off active)
CPU Architecture: ARM64 (PXN is architecturally mandatory)

=========================================================
  [Test 2/3] Kernel Hardware Telemetry (/proc/vuln_smep)
=========================================================
ARCHITECTURE:         arm64 (aarch64)
FEATURE_NAME:         PXN (Privileged Execute-Never)
PTE_PXN_BIT:          CLEARED (Simulated off)
HARDWARE_SUPPORT:     SUPPORTED
PROTECTION_STATUS:    DISABLED (Vulnerable ret2usr)
LAST_USER_ADDR:       0x0000000000000000
LAST_RETURN_VAL:      0x0000000000000000
EXEC_ATTEMPT_RESULT:  NOT_TESTED

=========================================================
  [Test 3/3] Real-World ret2usr Attack Demonstration
  Target: /proc/vuln_smep
  Runner: lab (UID 1000, non-privileged)
=========================================================
[*] Kernel Hardware Execution Protection Telemetry:
    Architecture:        arm64 (aarch64)
    Mechanism:           PXN (Privileged Execute-Never)
    Hardware Support:    SUPPORTED
    Control Register:    CLEARED (Simulated off)
    Enforcement State:   DISABLED (Vulnerable ret2usr)

[*] User-Space Attack Payload:
    Payload Address:     0x0000000000400c70 (resides in user space)
    Payload Function:    user_payload() returns 0x1337C0DE

=========================================================
[*] Triggering ret2usr Kernel Branch to User Space...
=========================================================
[*] Target Execution Attempt:
    Target Address:      0x0000000000400c70
    Execution Result:    PERMITTED (ret2usr Succeeded - Magic: 0x1337C0DE)
    Return Value:        0x000000001337c0de

=========================================================
[!] VULNERABILITY CONFIRMED: SMEP / PXN Protection is DISABLED!
[!] Kernel in supervisor mode successfully branched to user memory!
[!] User payload executed with supervisor privileges (Return: 0x000000001337c0de).
[!] Attackers can trivially achieve arbitrary code execution via ret2usr.
=========================================================

=========================================================
  Kernel Ring Buffer (dmesg) Security Events
=========================================================
[    0.000000] Kernel command line: console=ttyAMA0 quiet panic=1 nokaslr lab_test=test_smep_pxn clearcpuid=smep pxn=off
[    0.494141] [vuln_smep] Initialized /proc/vuln_smep (SMEP/PXN active: 0)
[    0.989791] [vuln_smep] Received request to execute user-space function at 0x400c70
[    0.989923] [vuln_smep] [!] WARNING: Simulated baseline mode (pxn=off). Recording ret2usr vulnerability.

Hardened Kernel (`smep-pxn`, `pxn=on`)¶

=========================================================
  [Test 1/3] Kernel Command Line & CPU Protection State
=========================================================
Kernel cmdline: console=ttyAMA0 quiet panic=1 nokaslr lab_test=test_smep_pxn smep=on pxn=on
Hardware Execution Protection: ACTIVE (SMEP / PXN enabled)
CPU Architecture: ARM64 (PXN is architecturally mandatory)

=========================================================
  [Test 2/3] Kernel Hardware Telemetry (/proc/vuln_smep)
=========================================================
ARCHITECTURE:         arm64 (aarch64)
FEATURE_NAME:         PXN (Privileged Execute-Never)
PTE_PXN_BIT:          SET (Bit 53 = 1)
HARDWARE_SUPPORT:     SUPPORTED
PROTECTION_STATUS:    ENABLED (Hardened)
LAST_USER_ADDR:       0x0000000000000000
LAST_RETURN_VAL:      0x0000000000000000
EXEC_ATTEMPT_RESULT:  NOT_TESTED

=========================================================
  [Test 3/3] Real-World ret2usr Attack Demonstration
  Target: /proc/vuln_smep
  Runner: lab (UID 1000, non-privileged)
=========================================================
[*] Kernel Hardware Execution Protection Telemetry:
    Architecture:        arm64 (aarch64)
    Mechanism:           PXN (Privileged Execute-Never)
    Hardware Support:    SUPPORTED
    Control Register:    SET (Bit 53 = 1)
    Enforcement State:   ENABLED (Hardened)

[*] User-Space Attack Payload:
    Payload Address:     0x0000000000400c70 (resides in user space)
    Payload Function:    user_payload() returns 0x1337C0DE

=========================================================
[*] Triggering ret2usr Kernel Branch to User Space...
=========================================================
[*] Target Execution Attempt:
    Target Address:      0x0000000000400c70
    Execution Result:    BLOCKED (Hardware MMU Protection Enforced)
    Return Value:        0x0000000000000000

=========================================================
[+] DEFENSE ACTIVE: SMEP (x86) / PXN (ARM64) verified!
[+] Hardware MMU blocks supervisor from executing code in user space.
[+] Direct ret2usr shellcode branch is completely thwarted!
[+] Attackers are prevented from using user-space payloads,
    forcing reliance on complex in-kernel ROP chains.
=========================================================

=========================================================
  Kernel Ring Buffer (dmesg) Security Events
=========================================================
[    0.446019] [vuln_smep] Initialized /proc/vuln_smep (SMEP/PXN active: 1)
[    1.022955] [vuln_smep] Received request to execute user-space function at 0x400c70
[    1.023071] [vuln_smep] [+] DEFENSE ACTIVE: Hardware MMU PXN is enforced (PTE_PXN=1)!
[    1.023098] [vuln_smep] [+] Direct execution of user address 0x400c70 blocked by hardware protection.

[!NOTE] ARM64 하드웨어 MMU 트랩 실측 기록: ARMv8-A 아키텍처는 유저 페이지에 PTE_PXN (Bit 53)이 강제되므로, 커널 모드(EL1)에서 유저 공간 주소로의 실제 분기 명령을 수행하면 CPU 하드웨어가 즉시 Instruction Abort (Level 3 Permission Fault)를 발생시킵니다:
[    0.902498] Unable to handle kernel execution of user memory at virtual address 0000000000400c70
[    0.905815] Mem abort info:
[    0.906192]   ESR = 0x000000008600000f: EC = 0x21: IABT (current EL), FSC = 0x0f: level 3 permission fault
[    0.909597] [0000000000400c70] pte=00200000483b7fc3 (PTE_PXN Bit 53 set)
[    0.913297] Internal error: Oops: 000000008600000f [#1] SMP

4.3 하드닝 전후 보안 비교 분석표¶

평가 항목	Base (`clearcpuid=smep` / `pxn=off`)	Hardened (SMEP / PXN 활성화)
x86_64 제어 레지스터	`CR4.SMEP = 0` (비활성화)	`CR4.SMEP = 1` (하드웨어 활성화)
ARM64 페이지 디스크립터	`PTE_PXN = 0` (모의 비활성화)	`PTE_PXN = 1` (하드웨어 강제)
ret2usr 쉘코드 실행	성공 (유저 쉘코드 커널 모드 직접 실행)	원천 차단 (MMU Instruction Fetch Trap)
공격자 요구 역량	단순 유저 공간 함수 포인터 변조	복잡한 커널 내부 ROP / JOP 체인 구성 필수
런타임 성능 오버헤드	기준점	0% (하드웨어 MMU 페이징 디코더 내장)

5. 성능 영향 및 보안 아키텍처 제언 (Trade-offs & Recommendations)¶

5.1 성능 및 엔지니어링 고려사항¶

런타임 오버헤드 전무:
CPU 하드웨어 MMU의 TLB 및 페이지 테이블 워커가 주소 변환 과정에서 \(U/S\) 비트와 \(CPL\)을 하드웨어 게이트 수준에서 대조하므로 성능 오버헤드는 0%임.
ROP (Return-Oriented Programming)로의 공격 기법 진화:
SMEP/PXN으로 인해 유저 공간 코드를 실행할 수 없게 되자, 공격자들은 커널 내부의 기존 인스트럭션 조각(가젯, Gadget)들을 엮는 ROP 기법으로 전환함.
이에 따라 커널 주소 공간 무작위화(KASLR/FG-KASLR) 및 제어 흐름 무결성(kCFI/CET/BTI)과의 다층 방어가 필수적임.

5.2 권장 적용 가이드라인¶

모든 x86_64 및 ARM64 시스템에서 SMEP/PXN은 상시 활성화되어야 함.
부팅 커맨드라인에 clearcpuid=smep 또는 nosmep 인자를 전달하는 것은 시스템 보안을 극도로 취약하게 만드므로 엄격히 금지됨.

6. 부록 (Appendix)¶

6.1 영문 기술 발표 대본 (Technical Presentation Script)¶

"Good afternoon, everyone. Today we examine Supervisor Mode Execution Prevention—known as SMEP on x86 and Privileged Execute-Never (PXN) on ARM64.

Historically, the CPU in supervisor mode (Ring 0 or EL1) was permitted to fetch and execute instructions located in user-space memory. This created an extremely dangerous attack vector known as ret2usr, or Return-to-User. An attacker could place malicious privilege-escalation shellcode in their own user memory space, trigger a kernel vulnerability such as a corrupted function pointer, and directly redirect kernel execution into user space.

SMEP and PXN solve this by enforcing a strict hardware barrier: whenever the CPU is in supervisor mode, attempting to fetch an instruction from any page marked with the user-access bit immediately raises a hardware Page Fault or Instruction Abort before a single user instruction can execute.

In our dual-architecture lab, we demonstrated that disabling SMEP allows the kernel to execute user-space payloads directly, confirming the ret2usr vulnerability. Under our hardened configuration, the MMU strictly prohibits the branch, completely eliminating ret2usr attacks and forcing adversaries to rely on much harder kernel ROP chains—with zero runtime performance cost."

6.2 보안 용어 사전 (Glossary)¶

SMEP (Supervisor Mode Execution Prevention): x86 아키텍처에서 슈퍼바이저 모드(Ring 0)가 유저 페이지의 코드를 실행하지 못하도록 차단하는 하드웨어 제어 레지스터 기능 (CR4 Bit 20).
PXN (Privileged Execute-Never): ARM64 아키텍처 변환 테이블 디스크립터의 53번째 비트로, EL1(커널 모드)에서 유저 공간 페이지의 명령어를 실행하지 못하도록 방지하는 하드웨어 플래그.
ret2usr (Return-to-User): 커널 취약점을 통해 커널 제어 흐름을 공격자가 유저 공간에 배치한 악성 쉘코드로 점프시키는 커널 익스플로잇 기법.
CR4 (Control Register 4): x86 아키텍처에서 SMEP, SMAP, UMIP, VMX 등 고급 프로세서 기능들을 활성화/비활성화하는 제어 레지스터.
ROP (Return-Oriented Programming): 실행 불가능한 메모리 환경을 우회하기 위해, 이미 실행 가능한 기존 코드 내의 ret로 끝나는 짧은 명령어 조각(가젯)들을 엮어 임의 코드를 실행하는 공격 기법.

SMEP (x86) & PXN (ARM64): 슈퍼바이저 모드 유저 공간 코드 실행 차단 및 ret2usr 원천 방어¶

1. 개요 및 위협 모델 (Overview & Threat Model)¶

1.1 해결하고자 하는 위협: ret2usr (Return-to-User) 임의 쉘코드 실행¶

1.2 직관적 실전 비유: 군 사령관과 민간인 게시판 규정 (The Military Command vs Civilian Noticeboard Metaphor)¶

2. 커널 내부 구현 원리 (Kernel Internal Architecture)¶

2.1 x86_64 아키텍처: CR4.SMEP (Supervisor Mode Execution Prevention)¶

2.2 ARM64 (AArch64) 아키텍처: PXN (Privileged Execute-Never)¶

3. 실습 환경 및 취약 드라이버 구현 (Hands-on Lab Implementation)¶

3.1 취약 타깃 드라이버 (vuln_smep.c)¶

3.2 ret2usr 공격 익스플로잇 PoC (exploit.c)¶

4. QEMU 실측 검증 및 분석 (Dual-Architecture Verification)¶

4.1 x86_64 아키텍처 실측 결과¶

Base Kernel (smep-pxn-disabled, clearcpuid=smep)¶

Hardened Kernel (smep-pxn, smep=on)¶

4.2 ARM64 아키텍처 실측 결과¶

Base Kernel (smep-pxn-disabled, pxn=off)¶

Hardened Kernel (smep-pxn, pxn=on)¶

4.3 하드닝 전후 보안 비교 분석표¶

5. 성능 영향 및 보안 아키텍처 제언 (Trade-offs & Recommendations)¶

5.1 성능 및 엔지니어링 고려사항¶

5.2 권장 적용 가이드라인¶

6. 부록 (Appendix)¶

6.1 영문 기술 발표 대본 (Technical Presentation Script)¶

6.2 보안 용어 사전 (Glossary)¶

3.1 취약 타깃 드라이버 (`vuln_smep.c`)¶

3.2 ret2usr 공격 익스플로잇 PoC (`exploit.c`)¶

Base Kernel (`smep-pxn-disabled`, `clearcpuid=smep`)¶

Hardened Kernel (`smep-pxn`, `smep=on`)¶

Base Kernel (`smep-pxn-disabled`, `pxn=off`)¶

Hardened Kernel (`smep-pxn`, `pxn=on`)¶