间接分支追踪（Indirect Branch Tracking，IBT） 是 Intel Control-flow Enforcement Technology (CET) 的核心组件之一，旨在加强程序的控制流保护，防止恶意代码通过控制流劫持技术（如 ROP（Return-Oriented Programming） 或 JOP（Jump-Oriented Programming））

间接分支追踪（Indirect Branch Tracking，IBT） 是 Intel Control-flow Enforcement Technology (CET) 的核心组件之一，旨在加强程序的控制流保护，防止恶意代码通过控制流劫持技术（如 ROP（Return-Oriented Programming） 或 JOP（Jump-Oriented Programming））来绕过安全机制，执行恶意行为。

IBT 的基本概念和工作原理

在程序执行中，间接分支（如 函数调用、返回 或 跳转）通常依赖于动态计算的目标地址。这些分支的目标地址通常存储在内存中的某个位置，例如函数指针、虚拟函数表（vtable）中的指针等。如果攻击者能够篡改这些目标地址，就能够劫持程序控制流，跳转到恶意代码。

间接分支追踪（IBT）通过硬件保护措施，确保所有间接分支的目标地址是合法的，从而防止攻击者通过修改这些目标地址来劫持程序执行。

间接分支的例子

间接分支指令是那些目标地址不能直接确定的跳转指令。例如：

• 函数调用（call）：当你通过指针调用一个函数时，目标地址是间接的。
• 返回指令（ret）：函数执行完后，控制流通过返回指令跳转回调用者的位置。攻击者可以通过栈溢出等方式修改返回地址来进行攻击。
• 跳转指令（jmp）：例如，基于条件的跳转（jmp eax 或通过函数指针的跳转）。

IBT 的保护机制

IBT 在硬件层面上追踪间接分支指令的目标地址，确保这些目标地址不会被恶意篡改或指向未授权的区域。具体来说，IBT 通过以下几种方式来增强程序的安全性：

1. 合法目标地址限制：

   • IBT 强制所有间接跳转必须跳转到合法的目标地址。合法目标通常是预定义的，例如位于程序代码段或其他指定的安全区域。
   • 如果间接跳转的目标地址不是合法的，硬件会触发异常，从而阻止程序继续执行恶意代码。

2. 间接分支目标的验证：

   • 在执行间接分支时，硬件会检查该跳转的目标地址是否符合预设的规则。具体来说，间接跳转的目标必须位于一个“可信的”代码区域，否则会触发异常。

3. 跳转目标表：

   • IBT 依赖于跳转目标表（例如，函数指针、虚拟表指针等）来验证目标地址是否合法。跳转表会被标记为“可追踪”，并且只有合法的目标可以存在于这个表中。

IBT 的防护机制如何阻止攻击

• 防止 ROP 攻击：

  • 在 ROP 攻击中，攻击者通过组合程序中现有的小代码片段（gadget）来控制程序的执行，执行恶意操作。通过间接分支追踪，IBT 可以确保攻击者无法修改返回地址或函数指针，无法将程序跳转到恶意代码所在的位置。

• 防止 JOP 攻击：

  • 在 JOP 攻击中，攻击者通过跳转到特定的“gadget”代码来实现恶意目的。IBT 通过限制跳转目标，使得这些攻击无法成功，因为攻击者无法预测并修改合法的跳转目标。

• 防止栈溢出攻击：

  • 在栈溢出攻击中，攻击者通常通过修改栈上的返回地址来劫持控制流。IBT 可以确保返回地址或其他间接跳转目标始终是合法的，从而避免这类攻击。

IBT 的硬件支持与启用

IBT 是通过 Intel CET（Control-flow Enforcement Technology）提供的硬件功能实现的。要启用 IBT，处理器必须支持 CET，并且操作系统和编译器也需要相应的支持。

1. 硬件支持：

   • Intel 从 11代酷睿处理器（Rocket Lake） 开始提供对 CET 的支持，包括 IBT。因此，只有具有此类处理器或更高版本的处理器才能利用 IBT 提供的安全保护。

2. 操作系统和软件支持：

   • 操作系统（如 Windows 10/11）和支持 CET 的应用程序需要通过特定的编译器选项或运行时设置来启用 IBT。

IBT 与其他安全技术的协同工作

IBT 是硬件级别的保护，与其他软件或硬件防护技术协同工作，进一步提升系统的安全性。与传统的安全机制（如 ASLR（地址空间布局随机化） 和 DEP（数据执行保护））相结合，IBT 提供了更为全面的防护：

• ASLR：通过随机化内存地址，增加了攻击者预测目标地址的难度。与 IBT 配合，攻击者无法仅依靠预测地址来发起攻击。
• DEP：通过禁止执行某些内存区域的代码，防止恶意代码在数据区域执行。IBT 提供的控制流保护则防止了攻击者通过控制流劫持绕过这些防护措施。

总结

间接分支追踪（IBT） 是 Intel CET 的关键部分，旨在通过硬件层面验证间接跳转指令的目标地址，防止攻击者通过篡改控制流来执行恶意代码。IBT 提供了更强大的防护，尤其是在防范高级攻击（如 ROP 和 JOP）方面。通过与其他安全技术（如 ASLR 和 DEP）结合使用，IBT 能够大大提高系统的安全性，抵御现代高级攻击手段。