The Windows IOCTL Census: A Corpus-Scale, Multi-Architecture Database of the Driver Control-Code Surface
यह शोध पत्र विंडोज IOCTL सेंसस (Windows IOCTL Census) को प्रस्तुत करता है, जो कि एक सार्वजनिक, क्वेरी करने योग्य डेटाबेस है जिसमें कई आर्किटेक्चर के 27,087 हस्ताक्षरित (signed) विंडोज ड्राइवरों के लिए डिकोड किए गए कंट्रोल कोड और कॉल ग्राफ्स की करोड़ों पंक्तियाँ शामिल हैं, जिसे लिफ्टेड इंटरमीडिएट रिप्रेजेंटेशन के एक नियतात्मक (deterministic), आर्किटेक्चर-न्यूट्रल विश्लेषण के माध्यम से प्राप्त किया गया है जो सिम्बोलिक निष्पादन (symbolic execution) के बिना ड्राइवर कॉर्पस के 80% हिस्से को कवर करने के लिए स्केल करता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि विंडोज ऑपरेटिंग सिस्टम एक विशाल, हलचल भरा शहर है। इस शहर में हजारों विशिष्ट "सर्विस स्टेशन" हैं जिन्हें ड्राइवर्स (drivers) कहा जाता है। ये ड्राइवर्स कंप्यूटर को आपके ग्राफिक्स कार्ड, प्रिंटर या वाई-फाई एडेप्टर जैसे हार्डवेयर से बात करने की अनुमति देते हैं।
इन स्टेशनों से बात करने के लिए, आम लोग (अनाधिकृत उपयोगकर्ता) "टिकट" भेजते हैं जिन्हें IOCTL कोड्स कहा जाता है। इन्हें विशिष्ट कमांड के रूप में समझें जैसे "यह पेज प्रिंट करें" या "यह इमेज दिखाएं।"
समस्या: खुला हुआ गेट
आमतौर पर, इन सर्विस स्टेशनों के पास सुरक्षा गार्ड होते हैं। लेकिन कभी-कभी, कोई गार्ड सो रहा होता है, या स्टेशन का ताला टूटा होता है। यदि कोई आम व्यक्ति ऐसे स्टेशन को टिकट भेजता है जिसका ताला टूटा हुआ है, तो वे "कंट्रोल रूम" (कर्नेल) में घुसकर शहर के नियम फिर से लिख सकते हैं। इसी तरह हैकर कंप्यूटर पर कब्जा कर लेते हैं।
लंबे समय से, सुरक्षा शोधकर्ता इन टूटे हुए तालों को खोजने के दो तरीके जानते थे:
- "सुपर-स्कैनर" (सिम्बोलिक एक्जीक्यूशन/Symbolic Execution): ये हाई-टेक रोबोट की तरह हैं जो हर सर्विस स्टेशन के हर दरवाजे से गुजरने की कोशिश करते हैं ताकि देख सकें कि क्या कोई दरवाजा खुला है। लेकिन ये धीमे हैं, आसानी से भ्रमित हो जाते हैं, और केवल "आधुनिक" शहर (64-बिट सिस्टम) की जांच कर सकते हैं। वे पुराने 32-बिट भवनों को पूरी तरह से छोड़ देते हैं, भले ही कई खतरनाक चीजें वहीं रहती हों।
- "वांटेड लिस्ट" (क्यूरेटेड लिस्ट): यह ज्ञात अपराधियों की एक सूची है। यह सटीक है, लेकिन इसमें केवल वे अपराधी शामिल हैं जिन्हें हम पहले ही पकड़ चुके हैं। यह उन नए अपराधियों को खोजने में मदद नहीं करता जो साये में छिपे हुए हैं।
अंतराल (The Gap): किसी के पास भी शहर का ऐसा पूर्ण नक्शा नहीं था जिसमें हर सर्विस स्टेशन और हर टिकट प्रकार दिखाया गया हो, चाहे वह पुराना भवन हो या नया।
समाधान: विंडोज IOCTL जनगणना (The Windows IOCTL Census)
इस शोध पत्र के लेखकों ने वह गायब नक्शा बनाया। वे इसे विंडोज IOCTL जनगणना (Windows IOCTL Census) कहते हैं।
हर दरवाजे से गुजरने की कोशिश करने के बजाय (जो धीमा और त्रुटिपूर्ण है), उन्होंने एक अलग दृष्टिकोण अपनाया:
- "अनुवादक" (डिटरमिनिस्टिक रिकवरी/Deterministic Recovery): कल्पना कीजिए कि एक अनुवादक है जो किसी भी भाषा (पुरानी 32-बिट या नई 64-बिट) में किसी भी इमारत के ब्लूप्रिंट (नक्शे) को तुरंत पढ़ सकता है। यह अनुवादक यह अनुमान नहीं लगाता कि बटन दबाने पर क्या होगा; यह बस ब्लूप्रिंट को पढ़ता है ताकि देख सके कि वास्तव में कौन से बटन मौजूद हैं और वे कहाँ ले जाते हैं।
- परिणाम: उन्होंने एक विशाल डेटाबेस बनाया जिसमें 27,087 ड्राइवर्स शामिल हैं। उन्होंने 3.1 मिलियन अलग-अलग कंट्रोल कोड्स (टिकट) और 8 मिलियन आंतरिक कार्यों (functions) का मानचित्र तैयार किया।
उन्होंने इसे उपयोगी कैसे बनाया (तीन-चरणीय प्रक्रिया)
लेखकों ने केवल डेटा को फेंका नहीं; उन्होंने इसे एक पाइपलाइन में व्यवस्थित किया:
रिकवर (नक्शा बनाने वाला/The Map Maker):
उन्होंने प्रत्येक ड्राइवर को स्कैन किया और उनके "डिस्पैच रूटीन" निकाले। इसे हर सर्विस स्टेशन के मुख्य लॉबी की पहचान करने और वहां उपयोग किए जाने वाले प्रत्येक टिकट प्रकार (IOCTL कोड) को सूचीबद्ध करने के रूप में समझें। उन्होंने यह काम पुराने और नए दोनों तरह के भवनों के लिए किया, जिससे 80% ड्राइवर्स कवर हो गए।- मुख्य जीत: उन्होंने उन "पुराने भवनों" (32-बिट) को खोज निकाला जिन्हें सुपर-स्कैनर छू भी नहीं सके।
एनरिच (जोखिम मूल्यांकनकर्ता/The Risk Assessor):
हर टिकट खतरनाक नहीं होता। उन्होंने एक स्मार्ट AI (एक LLM) का उपयोग किया ताकि वे केवल सबसे संदिग्ध लॉबी की जांच कर सकें—वे लॉबी जिनमें कमजोर सुरक्षा गार्ड (परमिसिव एक्सेस) और बिना जांचा गया इनपुट (अनचेक्ड इनपुट) हो। AI ने केवल अनुमान नहीं लगाया; इसने मैप मेकर द्वारा पाए गए विशिष्ट ब्लूप्रिंट विवरणों को देखा और एक "जोखिम रेटिंग" (क्रिटिकल, हाई, मीडियम) दी।- मुख्य जीत: उन्होंने सुरक्षित स्टेशनों को रेटिंग देने में समय बर्बाद नहीं किया। उन्होंने अपना ध्यान केवल उन्हीं पर केंद्रित किया जो खतरनाक लग रहे थे।
रैंक (प्राथमिकता सूची/The Priority List):
अंत में, उन्होंने एक खोजने योग्य सूची बनाई। अब शोधकर्ता को यह अनुमान लगाने की आवश्यकता नहीं है कि पहले किन 27,000 ड्राइवर्स की जांच करनी है, बल्कि वे पूछ सकते हैं: "मुझे दिखाएं कि किस विशिष्ट खतरनाक टिकट प्रकार वाले सभी ड्राइवर्स कौन से हैं," या "मुझे शीर्ष 100 सबसे जोखिम भरे स्टेशन दिखाएं।"
उन्होंने क्या पाया
- नक्शा वास्तविक है: उन्होंने अपने नक्शे को ज्ञात कमजोरियों के विरुद्ध सत्यापित किया। उदाहरण के लिए, उन्होंने एक ज्ञात खतरनाक ड्राइवर (NVIDIA डिस्प्ले ड्राइवर) को पाया और देखा कि उसे उनकी खतरे की सूची में बहुत ऊपर रैंक किया गया था, जिससे सिद्ध होता है कि सिस्टम काम करता है।
- "पुराना शहर" भरा हुआ है: 32-बिट ड्राइवरों को शामिल करके, उन्होंने एक बड़ा हिस्सा उजागर किया जिसे पिछले टूल्स ने अनदेखा कर दिया था।
- क्रॉस-चेकिंग: उन्होंने अपने "ब्लूप्रिंट पढ़ने" के तरीके की तुलना "सुपर-स्कैनर" रोबोटों से की। उन्होंने पाया कि जबकि रोबोट कुछ चीजें खोजने में अच्छे थे, वे बहुत कुछ मिस कर गए, विशेष रूप से पुराने भवनों को। ब्लूप्रिंट विधि ने वे चीजें ढूंढ लीं जिन्हें रोबोट नहीं देख सके, और इसके विपरीत भी।
वे क्या दावा नहीं कर रहे हैं
- उन्होंने हर बग नहीं खोजा: उन्होंने बग की संभावना (खुले दरवाजे) खोजी है, लेकिन उन्होंने मैन्युअल रूप से हर एक को सत्यापित नहीं किया कि क्या यह वास्तव में काम करता है।
- वे "किल लिस्ट" (Kill List) जारी नहीं कर रहे हैं: उन्होंने नक्शा (ड्राइवर्स की संरचना) जारी किया है ताकि शोधकर्ता अपना काम कर सकें। हालांकि, उन्होंने विशिष्ट "खतरनाक स्थानों" (बग के सटीक कोड स्थान) को निजी रखा है ताकि बुरे तत्व इस नक्शे का उपयोग करके तुरंत कंप्यूटरों पर हमला न कर सकें।
- यह कोई जादुई समाधान नहीं है: यह शोधकर्ताओं को उनके काम को प्राथमिकता देने में मदद करने वाला एक उपकरण है। यह "भूसे के ढेर में सुई खोजने" की समस्या को "यहाँ सबसे संभावित सुइयों की एक सूची है" की समस्या में बदल देता है।
निचोड़ (The Bottom Line)
लेखकों ने विंडोज ड्राइवर सुरक्षा के लिए गूगल मैप्स बनाया है। पहले, शोधकर्ताओं को बिना किसी दिशा के भटकना पड़ता था या ज्ञात अपराधियों की एक छोटी सूची पर निर्भर रहना पड़ता था। अब, उनके पास एक व्यापक, खोजने योग्य डेटाबेस है जो उन्हें ठीक से दिखाता है कि दरवाजे कहाँ हैं, कौन से खुले हैं, और कौन से सबसे पुराने और उपेक्षित हिस्सों में हैं। यह उन्हें अपना ऊर्जा उन जगहों पर केंद्रित करने की अनुमति देता है जो सबसे अधिक मायने रखते हैं।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।