Inside wsl

Introduce of the internal mechanism of Windows Subsystem for linux.

Transcript

1. Inside WSL
2. Who am I?  三村 聡志 a.k.a. 親方  Twitter : @mimura1133  Website : http://mimumimu.net/  最近アプリ診断してる  Windows + Visual Studio が いつものスタイル。
3. Who am I? 三村 聡志 a.k.a. 親方 Twitter : @mimura1133 Ｉｎｓｉｄｅ IT 主催 １０月３日に仙台でも開催予定 ＩＴ初心者向けの勉強会
4. Inside WSL WSL でできること WSL の仕組み WSL 1 WSL 2 Hacking WSL
5. WSL でできること
6. WSL とは？ Windows Subsystem for Linux の略 Windows 10 Fall Creators Update (1709) 以降で 利用可能
7. WSL で出来ること WSL1, WSL2 Linux のユーザモード環境の提供 64bit ELF のネイティブ実行 WSL2 Linux のカーネルモード環境 Linux カーネルを利用した高度な処理 iftop, mount などなど.
8. Linux の資産がつかえる！
9. WSL で出来ること 他にもこういうことができます： WSL 内からの Win32 プログラムの実行 WSL で稼働している Linux への ファイルアクセス WSL 内からの Windows への ファイルアクセス
10. WSL を使ってみる
11. WSL を使ってみる - 1 ストアからインストール
12. WSL を使ってみる – ２ インストールが終わったら あとは楽しむ。
13. WSL の仕組み – WSL1
14. WSL1 の仕組み Windows 10 の “Pico Process” という仕組みを利用して Windows 上で ELF を実行する Windows の１プロセスの扱いのため プロセスがタスクマネージャーから見える
15. Pico Process? From MSDN
16. Ｐｉｃｏ Process? Windows のプロセスには下記３タイプがある Minimal Process プロセスID は付与されるが PEB,TEB, NTDLL のリンク等は行われない NT Process 通常の Windows プロセス Pico Process Pico Provider と関連付いた Minimal Process.
17. ＷＳＬ１ の仕組み
18. ＷＳＬ１ の仕組み ELF ファイルを pico プロセスとして起動 Ｐｉｃｏ Provider は lxss.sys (%SYSTEMROOT%¥SYSTEM32¥DRIVERS¥LXSS.SYS) 起動されると Windows 側では LX Session Manager Service が起動する (%SYSTEMROOT%¥SYSTEM32¥LXSS¥LxssManager.dll) (%SYSTEMROOT%¥SYSTEM32¥LXSS¥wslhost.exe) (%SYSTEMROOT%¥SYSTEM32¥wsｌ.exe) 表示側は conhost.exe (コマンドプロンプト等と同じ)
19. ＷＳＬ１ の仕組み ELF ファイルを pico プロセスとして起動 Ｐｉｃｏ Provider は lxss.sys (%SYSTEMROOT%¥SYSTEM32¥DRIVERS¥LXSS.SYS) Ｐｉｃｏ Provider が適宜システムコールを理解し Windows Kernel に指示を出す 実行権限は wsl.exe と同じ.
20. ＷＳＬ１ の仕組み なおファイルについては すべてそのまま保存されている
21. WSL の仕組み – WSL2
22. ＷＳＬ2 の仕組み From channel 9.
23. WSL2 の仕組み カスタマイズされた Linux Kernel を利用する ELF ファイルはその上で実行する Kernel Image: 通常は %SYSTEMROOT%¥System32¥lxss¥tools 以下のものを利用
24. 余談ですが Windows 10 では Windows Hypervisor Platform が提供 Hyper-V の仕組みを利用して VM を実行できる API 群 管理者権限は不要 C#, C++ 向けの API 実装は存在する https://github.com/mimura1133/WHVPSharp
25. ＷＳＬ2 を利用するために 現時点で WSL2 用の ディストリビューションは出ていない 既存のものを変換して作る wsl --set-version ubuntu 2
26. ＷＳＬ２ の仕組み
27. WSL2 の仕組み 起動時に Ｌｉｎｕｘ VM (Optimized) を起動 Lightweight ＶＭ が立ち上がる WSL1 同様、起動されると Windows 側では LX Session Manager Service が起動する (%SYSTEMROOT%¥SYSTEM32¥LXSS¥LxssManager.dll) (%SYSTEMROOT%¥SYSTEM32¥LXSS¥wslhost.exe) (%SYSTEMROOT%¥SYSTEM32¥wsｌ.exe)
28. WSL2 の仕組み WSL を起動すると 下記のように “WSL” という名前の Ｄｏｃｋｅｒ が起動する WSL を閉じても走り続ける wsl --terminate で止められる.
29. ＷＳＬ2 の仕組み ファイルは VHDX の下に保存される Hyper-V の仮想ディスクイメージ (ext4) Win – Linux は 9p Protocol. (Plan9)
30. Hacking WSL – WSL を使いやすくしよう
31. コマンドを使いやすくする 利用したい Linux コマンドと同じ名前の バッチファイルを作成する 下記の内容を書く: @bash -c "%~n0 %*"
32. コマンドを使いやすくする
33. コマンドを使いやすくする あとは PATH を通す Ｗｉｎｄｏｗｓ と Linux のコラボができる
34. ユーザディレクトリを合わせる Linux の userdir を Ｗｉｎｄｏｗｓ の %userprofile% に リンクさせる /mnt/c/Users 以下に通常存在する “ln –s” でリンクを張れば OK.
35. Hacking WSL – WSL の深い挙動の違いを見る
36. 挙動の違いを見る ＷＳＬ1 と WSL2 は VM か Pico Process かの違いがある それに合わせていくつかの挙動が異なる
37. プロセスの見え方 ＷＳＬ1 Pico Process のため １つ１つがタスクマネージャから見える WSL2 VM のため vmmem, vmwp.exe が 起動する
38. Processes (WSL1) Windows 上からプロセスが見える WSL が起動すると wslhost.exe がドライバと通信し 結果を conhost.exe が描画する
39. Processes (WSL2) Windows 上からはこれしか見えない ただし hcsdiag からは下記のように見える
40. mount の挙動の違い WSL1 root は wslfs (実体は NTFS 上にある) マウントできない WSL2 root は ext4 (実体は VHDX 上にある) マウントできる
41. mount (WSL1)
42. mount (WSL2)
43. Tcpdump の挙動の違い WSL1 Pico Provider (lxss.sys) に ローパケット処理が実装されていない WSL2 動作する 同じ理由で iptables, nmap 等も動作する
44. tcpdump (WSL1)
45. tcpdump (WSL2)
46. ip addr の挙動の違い WSL 1 Windows とアドレス・ポートを共有 ＷＳＬ 2 Windows 側で NAPT される
47. ip addr (WSL1) Ｗｉｎｄｏｗｓ とおなじアドレスが 付与されていることが分かる
48. ip addr (WSL2) NAPT されている
49. GDB の挙動の違い WSL1 Ｐｉｃｏ Process で Emulation しているため アドレスが Linux らしいものとは異なる ＷＳＬ２ Ｌｉｎｕｘ 上のためアドレスがキッチリ
50. gdb (WSL1)
51. gdb (WSL2)
52. WSL まとめ
53. ＷＳＬ まとめ Windows Subsystem for Linux は Windows 上で Linux の資産を活かす技術 WSL1 は 直接 Windows で実行 WSL2 は Docker 上で実行 再現度は WSL2 が高く、気軽さは WSL1 が高い
54. 余談集
55. フォレンジックしたい WSL1 NTFS 上にファイルが書かれる 基本的にはWindows のフォレンジックでよい ＷＳＬ２ vhdx ファイルを読む こういうツールを使って raw にすればあとは楽 http://euee.web.fc2.com/tool/nhc.html
56. フォレンジックしたい プロセスのログとしては下記の起動ログを追う wslhost.exe
57. 検知システムを書きたい！ (WSL1)  PsSetCreateProcessNotifyRoutineEx2  PsSetCreateThreadNotifyRoutineEx この関数を使ってフックを掛ける typedef enum _SUBSYSTEM_INFORMATION_TYPE { SubsystemInformationTypeWin32, SubsystemInformationTypeWSL, MaxSubsystemInformationType }
58. Inside WSL TWITTER : @MIMURA1133
59. 宣伝 １０月５日（土曜日）に Inside IT を仙台で開催します IT 初心者向けのかたに 分かりやすく IT の世界に 触れて頂く内容です