Linux 内核漏洞对下游系统的安全性构成重大威胁。尽管已有大量自动内核利用研究，但抽象利用策略与具体技术操作之间仍然存在概念鸿沟，导致自动化程度有限。本文针对这一挑战，首先提出了一套系统化的表征方法：将利用原语从逻辑能力到可验证效果形式化为六类，并扩展了利用策略表示，将原语升级策略与原语路径代码合成规则（对象约束、时间序列、环境前提、验证约束）耦合。在此基础上，作者设计了 PrimSynth，一个多代理框架，通过协调多个智能体来发现、验证和合成针对 Linux 内核内存破坏漏洞的利用原语。该框架中的代理在迭代闭环中运行，利用验证信号作为可利用状态转换的证据来支撑原语合成决策，直至找到有效原语。文章还提出了一种基于漏洞定向执行和可重启验证环境的自动化原语提取与验证方法。论文在 16 个涉及 5 类漏洞类型的真实 Linux 内核 CVE 上进行了评估。实验结果显示，PrimSynth 实现了可靠的原语提取，原语匹配率达到 100%；在原语合成方面，当公有 PoC 可用时，多原语利用链的合成成功率为 82.4%（策略合成率 SSR），即使在没有原语假设引导的情况下，SSR 仍能达到 61.3%。这项工作填补了内核漏洞利用自动化研究中从抽象策略到具体实现的鸿沟，为安全社区理解攻击者的自动化思路和潜在利用模式提供了重要参考，同时也可为防御者提供评估漏洞真实风险的新视角。

本文提出了一种名为 RetSpill 的内核利用技术，旨在简化在控制流劫持原语（CFHP）基础上进行 Linux 内核权限提升的过程。现代内核安全缓解措施（如 SMAP、SMEP、KASLR、stack canary 等）使得传统的 ret2usr、ROP 等利用手段变得困难，攻击者不得不开发复杂且脆弱的攻击链。RetSpill 的核心洞察是：内核栈上已经残留了大量用户空间可控的数据（例如系统调用参数、指针、数据块等），攻击者可以巧妙地利用这些现有数据来构造恶意代码指针或数据，从而绕过内核栈不可执行等保护，实现权限提升。该方法不需要引入额外的 gadget 或复杂的内存布局操纵，而是通过精确控制栈上用户数据的位置和内容，在控制流劫持发生时直接重用这些数据作为攻击载荷。论文详细分析了内核栈上用户数据的来源、生命周期和可控性，并实现了针对多个 Linux 内核版本和不同配置的利用原型。实验表明，RetSpill 能够稳定地绕过现有的内核保护机制，显著降低利用难度，并提高了利用的可靠性。该工作对内核防御者具有重要警示意义：仅依赖硬件辅助保护（如 SMAP/SMEP）是不够的，需要重新审视内核栈上数据残留的风险，并考虑在编译时或运行时对栈数据进行清理或隔离。适合内核安全研究者、漏洞利用防御工程师以及操作系统安全领域的学生阅读。

该论文提出了一种针对 Linux 内核的静态未定义行为（UB）检测器 KUBO，旨在同时实现高精度和全内核可扩展性。未定义行为通常源于 C/C++ 等底层语言中的编程错误，内核与硬件紧密交互，UB 可能被非特权用户态程序触发，导致严重的安全与可靠性问题。已有内核 UB 检测方法在精度与可扩展性之间存在权衡，往往产生大量误报，影响实用性。KUBO 聚焦于可由用户输入触发的关键 UB，通过验证 UB 触发路径及条件是否可满足来保证高精度；采用高效的跨过程分析，按需沿调用链向后增量遍历，从而扩展到整个内核（包括驱动）。作者在多个版本的完整 Linux 内核上评估了 KUBO，发现 23 个此前未知的关键 UB，误报率仅 27.5%，显著低于现有最先进内核 UB 检测器的 91%。此外，KUBO 生成的错误报告易于分类。该工作为内核安全分析提供了高精度、可扩展的静态分析新方法，适合内核安全研究人员、漏洞挖掘工具开发者以及系统安全工程师阅读。

本文研究 Linux 内核漏洞的跨版本可利用性评估问题：给定一个在特定内核版本上已验证可利用的漏洞利用程序，如何判断同一漏洞在其他内核版本上是否可利用。现有解决方案自动漏洞利用生成（AEG）因模板驱动且忽略已有利用程序提供的能力而并不适用。为此，作者提出一种新方法——自动漏洞利用迁移（AEM），其核心洞察是：原始利用程序所采用的利用策略往往也适用于其他可利用的内核版本。技术上，AEM 将漏洞可正常利用的版本作为参考，通过调整利用程序强制使其他内核版本向参考版本对齐，从而在目标版本上复现利用行为。为降低开销并提高可行性，AEM 会策略性地识别真正影响利用成功的关键执行点，仅在这些点实施对齐。作者实现了 AEM 原型，并在 67 个需要迁移利用的案例中成功迁移了 56 个，成功率达 83.5%。该工作为跨版本漏洞可利用性评估提供了新思路，有望提升安全评估与补丁优先级排序的效率。

本文研究 Linux 内核漏洞的跨版本可利用性评估问题。具体而言，给定一个在特定内核版本上成功利用漏洞的 exploit，目标是判断同一漏洞在其他内核版本上是否也可被利用。现有唯一可用的解决方案是自动生成漏洞利用（AEG），但由于 AEG 基于模板驱动且忽略现有 exploit 所提供的能力，因此并不适合该任务。为此，作者提出一种新方法——自动漏洞利用迁移（AEM）。其核心观察是：exploit 所采用的利用策略通常也适用于其他可利用的内核版本。技术上将 exploit 可正常工作的内核版本作为参考版本，通过调整 exploit 迫使其他内核版本与参考版本对齐，从而在其他版本上复现相同的利用行为。为降低开销并提高可行性，作者策略性地识别真正影响利用执行的关键点，仅对这些点进行强制对齐。作者设计并实现了 AEM 原型，在 67 个需要迁移的案例中，成功迁移 56 个，成功率达到 83.5%。该研究为蓝队评估漏洞在多版本内核中的实际威胁提供了新的自动化思路，有助于安全团队更准确地判断漏洞影响范围，从而优先修复高风险版本。适合内核安全研究者、漏洞管理工程师和安全运营团队阅读。

该论文研究了Linux内核CVE可触发性的配置推断问题。在现实场景中，厂商在评估CVE时不仅需要知道内核版本是否受影响，还需要知道在特定生产配置下漏洞是否实际可触发。然而，上游复现程序和漏洞数据库通常缺乏配置层面的信息。为此，论文提出一种最小触发配置推断方法：给定CVE条目和目标内核版本（可附带基线.config），合成一个可被Kconfig满足的选项集合，该集合在运行make olddefconfig后仍能生效，并且当存在复现程序时能在指定评估协议下触发漏洞；随后将该集合修剪至1-minimal（子集最小）边界以供评估。论文实现的框架FCC将漏洞线索与构建系统符号关联，在olddefconfig反馈下推断隐式先决条件以避免配置被静默回退，并依据依赖拓扑进行运行时验证的剪枝。实验基于KernJC和KernelCTF数据集，共涉及88个CVE、多个内核版本。结果表明，在88个CVE上，FCC将make olddefconfig后的配置成功率从62.5%（55/88）提升至96.6%（85/88），相对于仅使用olddefconfig注入的基线；在KernJC数据集上，FCC将平均候选配置大小减少了78.7%（平均每个CVE从69.00个选项降至14.72个）。逐阶段分析显示Stage I是主要开销，而聚焦CVE的证据选择能显著降低该成本。该方法提供了有效且可审计的1-minimal配置边界，帮助厂商在自身部署配置下划定CVE可触发性的清晰决策线，并具备工具支撑。适合内核安全研究员、漏洞评估工程师和厂商安全团队阅读。

该论文分析了Linux内核（以及Android）中使用的prandom伪随机数生成器（PRNG），发现其存在弱点。prandom PRNG被内核中的多个网络层消费者使用，包括UDP源端口生成算法、IPv6流标签生成算法和IPv4 ID生成算法。由于这些消费者共享同一个有缺陷的PRNG，研究者能够发起“跨层攻击”：从一个OSI层推断prandom的内部状态，然后利用该状态预测另一层PRNG的输出，或者将不同协议推断出的状态关联起来。具体地，研究者通过收集TCP/IPv6流标签值、UDP源端口或TCP/IPv4 IP ID值，重建PRNG内部状态，然后预测出站DNS查询的UDP源端口，从而将DNS缓存投毒攻击的速度提升3000到6000倍。该攻击可远程执行，也可本地执行（跨用户、跨容器），并且（取决于存根解析器）可以用任意DNS记录污染缓存。此外，通过收集网络数据并重建PRNG状态，可以关联不同时间提取的状态，从而识别和跟踪Linux和Android设备。论文揭示了内核PRNG实现中的安全缺陷，并展示了如何利用跨层信息泄漏进行高效攻击。

本文针对Linux内核驱动模糊测试中一个被忽视的维度——运行时参数——进行了系统性研究。Linux内核采用宏内核架构，所有组件运行在统一地址空间，其中设备驱动代码占比超过一半，但也是漏洞高发区。已有研究主要通过系统调用和硬件中断对驱动进行模糊测试。然而，作者通过深入分析Linux内核设备模型发现，驱动的执行还受到运行时参数的影响，这些参数包括设备属性和内核模块参数，它们通过一个名为sysfs的特殊虚拟文件系统暴露给用户空间。作者的分析表明，很大一部分未被覆盖的代码正是被这些参数所屏蔽。此外，同一设备树中相互连接的相邻设备也会影响驱动的行为。基于此，作者提出了一种新的模糊测试方法SyzParam，它能够自动识别并利用这些运行时参数来触发更深层的驱动代码路径。SyzParam通过解析内核模块参数和设备属性定义，生成有效的参数值和序列，并结合经典的syscall模糊器（如syzkaller）进行协同测试。实验表明，SyzParam在多个主流内核版本上发现了大量之前未被覆盖的代码区域，并成功检测出若干新漏洞。该工作为内核驱动安全测试提供了新视角，强调了参数配置在触发边界条件中的关键作用。适合内核安全研究员、模糊测试工具开发者及系统管理员阅读。

该论文提出了一种名为FUZZNG的新型内核模糊测试方法，旨在解决现有操作系统模糊测试工具（如Syzkaller）依赖手动编写的系统调用接口描述（语法规则）的扩展性问题。Syzkaller需要为每个内核接口提供精确且详细的语法描述，这限制了其可扩展性，并且手动创建这些描述非常耗时。FUZZNG利用内核设计的基本特性（例如系统调用编号和文件描述符）来重塑和简化模糊器的输入空间，从而无需复杂的系统调用接口描述即可工作。具体来说，FUZZNG只需要一个小的配置文件，包含要探索的文件列表和系统调用编号，即可开始测试。作者在Linux内核上实现了FUZZNG，并在10个已有Syzkaller详细描述的Linux组件上进行了测试。实验结果表明，FUZZNG平均达到了Syzkaller覆盖率的102.5%，并且发现了9个新漏洞，其中5个位于Syzkaller已经模糊测试多年的组件中。此外，FUZZNG的配置文件大小仅为Syzkaller手动编写语法的1.7%以下，且不需要初始种子输入或专家指导。该工作为内核模糊测试提供了一种更轻量级、更易扩展的方法，尤其适用于快速评估新内核组件或接口的安全性。

内核模糊测试是发现内核漏洞的有效手段，但现有工具如Syzkaller过度追求代码覆盖率，导致低频代码区域测试不足。本文提出SYSYPHUZZ，一种面向代码频率的内核模糊器，旨在提升对未充分测试代码区域的探索。首先，通过对Linux内核中Syzkaller的精细评估，揭示了代码覆盖不平衡的问题。SYSYPHUZZ引入两个关键技术：选择性任务调度（Selective Task Scheduling）动态优先管理探索任务，避免任务爆炸；上下文保持突变（Context-Preserving Mutation）减少对低频系统调用上下文依赖的破坏。与Syzkaller和SyzGPT的对比实验表明，SYSYPHUZZ显著减少了未探索代码区域，发现31个被Syzkaller遗漏和27个被SyzGPT遗漏的独特bug，并发现5个被持续运行的Syzbot遗漏的漏洞。将SYSYPHUZZ与SyzGPT集成后，新工具SyzGPTsysy多发现33%的独占bug，证明了其增强效果。所有漏洞已负责任披露，代码已开源。该研究为内核模糊测试提供了新方向，有望提升Linux内核的安全性。

本文针对 Linux 内核快速开发周期中引入新漏洞的问题，提出了一种增量静态分析方法（Progressive Scrutiny），旨在高效检测内核中的 UBI（Use-Before-Initialization）漏洞。传统静态分析工具虽然能发现某些漏洞，但分析整个内核耗时过长，无法跟上内核的更新节奏（平均每小时10次提交）。作者设计了渐进式扫描框架：首先对整个内核进行一次完整的高精度分析，建立基线和调用图等中间表示；随后，当代码发生变更时，仅重新分析受影响的部分，通过增量更新维护分析结果。这种方法面临内核规模巨大、需要高精度以减少误报的挑战。论文在真实内核版本上进行了实验，证明与从头分析相比，增量分析在保持相同检测精度的前提下，显著缩短了分析时间，能够及时发现新引入的 UBI 漏洞。主要贡献包括：形式化定义了内核 UBI 漏洞的增量检测问题；提出了支持精准指针分析、流敏感和路径敏感的增量算法；实现了原型工具并在多个内核版本上验证了其有效性和性能提升。该工作对于内核安全维护者、DevSecOps 团队以及静态分析工具开发者具有重要参考价值。

该论文提出了一种名为K-LEAK的框架，旨在自动化生成Linux内核中基于内存错误的信息泄露利用。研究背景是：内核信息泄露的严重性不容低估，现有利用技术虽多，但缺乏对基于内存错误的信息泄露利用搜索空间的系统推理，导致大量内存错误未被有效利用。论文首先对内存错误进行了理论建模，揭示了实际搜索空间巨大且涉及多步骤，几乎任何内存错误都可能被利用来泄露信息。为弥合理论与实践之间的差距，K-LEAK将信息泄露利用生成视为数据流搜索问题。通过建模内存错误引入的意外数据流以及现有内存错误如何创建新的内存错误，K-LEAK能够以多步骤方式系统地搜索信息泄露的数据流路径。作者基于该框架实现了原型，并使用来自syzbot和CVE的内存错误进行了评估。评估结果表明，K-LEAK能够有效生成使用多种多步骤策略的多样化信息泄露利用。该工作贡献在于：1) 对内核内存错误利用空间的理论建模；2) 提出系统化的自动化利用生成方法；3) 实验证明其有效性和多样性。适合安全研究人员、内核开发者以及蓝队防御者阅读，以深入理解内核信息泄露利用的自动化生成机制。

本文提出了一种名为UACatcher的工具，用于系统性地检测Linux内核中的Use-After-Cleanup（UAC）漏洞。当设备从系统断开时，由于运行中的内核线程可能未感知到设备移除，仍尝试访问已被清理线程释放的对象，从而引发UAC漏洞。这种漏洞可被攻击者利用以实现任意代码执行和权限提升，但此前未受到足够关注。现有工具主要关注数据竞争等常见并发错误，很少针对UAC漏洞。UACatcher包含三个阶段：首先扫描整个内核以定位目标层；然后采用上下文敏感、流敏感的间过程分析和指向分析，在自底向上的清理线程中找出可能的释放（deallocation）点，在自顶向下的内核线程中找出引发UAC的使用（dereference）点；最后通过例程切换点算法，基于同步机制和路径约束来检测UAC漏洞并评估其可利用性。对于可利用的漏洞，工具利用基于伪终端的设备模拟技术开发实际漏洞利用代码。原型在Linux 5.11内核上评估，成功检测到346个UAC漏洞，已报告给社区（其中277个已确认并修复，分配了15个CVE）。其中13个漏洞可利用，可用于开发实现内核空间任意代码执行和权限提升的漏洞利用代码。文章还讨论了UACatcher的局限性并提出修复和预防UAC漏洞的可能方案。

该论文聚焦于开源软件项目中安全补丁的自动分类问题，特别是针对 Linux 内核中严重的内存错误（如越界访问 OOB 和释放后使用 UAF）。由于安全补丁经常被延迟采纳，且存在故意沉默的修复、CVE 分配不完整或延迟等问题，识别关键补丁变得困难。现有细粒度分类方法在覆盖率和准确性上存在局限。作者提出了 DUALLM 双方法流水线，结合基于大型语言模型（LLM）的方法和微调的小语言模型，利用提交标题、消息、差异及代码上下文进行补丁分类。实验表明，DUALLM 在 5140 个近期 Linux 内核补丁中达到了 87.4% 的准确率和 0.875 的 F1 分数，显著优于先前方案。它成功识别出 111 个与 OOB 或 UAF 相关的补丁，其中 90 个经人工确认真阳性（许多在补丁描述中没有明显指示）。此外，作者为两个识别出的漏洞（一个 UAF，一个 OOB）构建了概念验证，其中一个实现了此前未知的控制流劫持，进一步验证了分类正确性。该研究为下游维护者提供了自动化识别关键安全补丁的有效工具，有助于缩短漏洞暴露窗口。

本文提出一种针对Linux内核的新型跨缓存攻击方法，称为PCP Massaging。该方法利用每CPU页缓存（Per-CPU Page Cache, PCP）的内存分配行为，攻击者通过精心控制内存分配与释放，迫使目标内核对象（如socket结构体）落入特定的缓存行中，从而在受害者与攻击者之间创建共享缓存状态，实现跨核心、跨进程的侧信道信息泄露。论文在ARM64和x86_64平台上验证了攻击的有效性：一方面，攻击者能够从内核地址空间泄露KASLR（内核地址空间布局随机化）基址；另一方面，通过操作socket对象的权限字段，攻击者可以绕过普通用户权限检查，伪造具有超级用户权限的socket。实验结果表明，攻击成功率较高，且对系统性能影响较小。作者进一步讨论了潜在缓解措施，如加强PCP分配隔离或引入缓存着色技术，但未给出完整防御方案。该工作揭示了内存管理子系统中缓存一致性副作用带来的安全风险，为内核安全研究提供了新视角。

本论文是一篇系统化知识（SoK）研究，旨在从攻防双视角深入评估Linux内核加固机制的有效性。研究首先系统梳理了现有Linux内核安全加固技术，包括内核地址空间布局随机化（KASLR）、堆栈防护、控制流完整性（CFI）、内核控制流完整性（kCFI）、指针认证（PAC）、内存标记扩展（MTE）以及各种内存安全缓解措施。接着，论文从攻击者角度出发，分析了这些加固机制在实际漏洞利用中被绕过的可能性，总结了常见绕过技术及其适用条件。从防御者角度，作者评估了不同加固方案在阻止漏洞利用链各阶段（如信息泄露、控制流劫持、权限提升）的实际效果，并指出当前加固方案的覆盖盲区和性能开销权衡。论文还探讨了近年来提出的新型防御思路，如基于机器学习的异常检测和形式化验证的内核模块。通过对比实验和案例研究，作者揭示了以下关键发现：1）虽然现代内核集成了多层加固，但攻击者仍可通过组合特定绕过技术（如利用侧信道泄露KASLR基址）实现成功利用；2）不同加固方案之间存在依赖关系，单一机制的失效可能导致整个防御链崩溃；3）当前加固方案在兼容性与安全性之间尚未达到理想平衡。最后，论文提出了未来研究方向，包括开发自适应防护策略和硬件辅助安全机制。该研究成果对系统安全研究人员、内核开发者和安全运维人员理解内核防御现状与提升加固有效性具有重要参考价值。