Introduce of the internal mechanism of Windows Subsystem for linux.

1. Inside WSL

2. Who am I?
 三村 聡志 a.k.a. 親方
 Twitter : @mimura1133
 Website : http://mimumimu.net/
 最近アプリ診断してる
 Windows + Visual Studio が
いつものスタイル。

3. Inside WSL
WSL でできること
WSL の仕組み
WSL 1
WSL 2
Hacking WSL

4. WSL でできること

5. WSL とは？
Windows Subsystem for Linux の略
Windows 10 Fall Creators Update
(1709) 以降で
利用可能

6. WSL で出来ること
WSL1, WSL2
Linux のユーザモード環境の提供
64bit ELF のネイティブ実行
WSL2
Linux のカーネルモード環境
Linux カーネルを利用した高度な処理
iftop, mount などなど.

7. Linux の資産がつかえる！

8. WSL で出来ること
他にもこういうことができます：
WSL 内からの Win32 プログラムの実行
WSL で稼働している Linux への
ファイルアクセス
WSL 内からの Windows への
ファイルアクセス

9. WSL を使ってみる

10. WSL を使ってみる - 1
ストアからインストール

11. WSL を使ってみる – ２
インストールが終わったら
あとは楽しむ。

12. WSL の仕組み – WSL1

13. WSL1 の仕組み
Windows 10 の “Pico Process”
という仕組みを利用して
Windows 上で ELF を実行する
Windows の１プロセスの扱いのため
プロセスがタスクマネージャーから見える

14. Pico Process?
From MSDN

15. Ｐｉｃｏ Process?
Windows のプロセスには下記３タイプがある
Minimal Process
プロセスID は付与されるが
PEB,TEB, NTDLL のリンク等は行われない
NT Process
通常の Windows プロセス
Pico Process
Pico Provider と関連付いた Minimal Process.

16. ＷＳＬ１ の仕組み

17. ＷＳＬ１ の仕組み
ELF ファイルを pico プロセスとして起動
Ｐｉｃｏ Provider は lxss.sys
(%SYSTEMROOT%SYSTEM32DRIVERSLXSS.SYS)
起動されると Windows 側では
LX Session Manager Service が起動する
(%SYSTEMROOT%SYSTEM32LXSSLxssManager.dll)
(%SYSTEMROOT%SYSTEM32LXSSwslhost.exe)
(%SYSTEMROOT%SYSTEM32wsｌ.exe)
表示側は conhost.exe (コマンドプロンプト等と同じ)

18. ＷＳＬ１ の仕組み
ELF ファイルを pico プロセスとして起動
Ｐｉｃｏ Provider は lxss.sys
(%SYSTEMROOT%SYSTEM32DRIVERSLXSS.SYS)
Ｐｉｃｏ Provider が適宜システムコールを理解し
Windows Kernel に指示を出す
実行権限は wsl.exe と同じ.

19. ＷＳＬ１ の仕組み
なおファイルについては
すべてそのまま保存されている

20. WSL の仕組み – WSL2

21. ＷＳＬ2 の仕組み
From channel 9.

22. WSL2 の仕組み
カスタマイズされた Linux Kernel を利用する
ELF ファイルはその上で実行する
Kernel Image:
通常は %SYSTEMROOT%System32lxsstools 以下のものを利用

23. 余談ですが
Windows 10 では
Windows Hypervisor Platform が提供
Hyper-V の仕組みを利用して
VM を実行できる API 群
管理者権限は不要
C#, C++ 向けの API 実装は存在する
https://github.com/mimura1133/WHVPSharp

24. ＷＳＬ2 を利用するために
現時点で WSL2 用の
ディストリビューションは出ていない
既存のものを変換して作る
wsl --set-version ubuntu 2

25. ＷＳＬ２ の仕組み

26. WSL2 の仕組み
起動時に Ｌｉｎｕｘ VM (Optimized) を起動
Lightweight ＶＭ が立ち上がる
WSL1 同様、起動されると Windows 側では
LX Session Manager Service が起動する
(%SYSTEMROOT%SYSTEM32LXSSLxssManager.dll)
(%SYSTEMROOT%SYSTEM32LXSSwslhost.exe)
(%SYSTEMROOT%SYSTEM32wsｌ.exe)

27. WSL2 の仕組み
WSL を起動すると
下記のように “WSL” という名前の
Ｄｏｃｋｅｒ が起動する
WSL を閉じても走り続ける
wsl --terminate で止められる.

28. ＷＳＬ2 の仕組み
ファイルは VHDX の下に保存される
Hyper-V の仮想ディスクイメージ (ext4)
Win – Linux は
9p Protocol.
(Plan9)

29. Hacking WSL –
WSL を使いやすくしよう

30. コマンドを使いやすくする
利用したい Linux コマンドと同じ名前の
バッチファイルを作成する
下記の内容を書く:
@bash -c "%~n0 %*"

31. コマンドを使いやすくする

32. コマンドを使いやすくする
あとは PATH を通す
Ｗｉｎｄｏｗｓ と Linux のコラボができる

33. ユーザディレクトリを合わせる
Linux の userdir を
Ｗｉｎｄｏｗｓ の %userprofile% に
リンクさせる
/mnt/c/Users 以下に通常存在する
“ln –s” でリンクを張れば OK.

34. Hacking WSL –
WSL の深い挙動の違いを見る

35. 挙動の違いを見る
ＷＳＬ1 と WSL2 は
VM か Pico Process かの違いがある
それに合わせていくつかの挙動が異なる

36. プロセスの見え方
ＷＳＬ1
Pico Process のため
１つ１つがタスクマネージャから見える
WSL2
VM のため vmmem, vmwp.exe が
起動する

37. Processes (WSL1)
Windows 上からプロセスが見える
WSL が起動すると
wslhost.exe がドライバと通信し
結果を conhost.exe が描画する

38. Processes (WSL2)
Windows 上からはこれしか見えない
ただし hcsdiag からは下記のように見える

39. mount の挙動の違い
WSL1
root は wslfs (実体は NTFS 上にある)
マウントできない
WSL2
root は ext4 (実体は VHDX 上にある)
マウントできる

40. mount (WSL1)

41. mount (WSL2)

42. Tcpdump の挙動の違い
WSL1
Pico Provider (lxss.sys) に
ローパケット処理が実装されていない
WSL2
動作する
同じ理由で iptables, nmap 等も動作する

43. tcpdump (WSL1)

44. tcpdump (WSL2)

45. ip addr の挙動の違い
WSL 1
Windows とアドレス・ポートを共有
ＷＳＬ 2
Windows 側で NAPT される

46. ip addr (WSL1)
Ｗｉｎｄｏｗｓ とおなじアドレスが
付与されていることが分かる

47. ip addr (WSL2)
NAPT されている

48. GDB の挙動の違い
WSL1
Ｐｉｃｏ Process で Emulation しているため
アドレスが Linux らしいものとは異なる
ＷＳＬ２
Ｌｉｎｕｘ 上のためアドレスがキッチリ

49. gdb (WSL1)

50. gdb (WSL2)

51. WSL まとめ

52. ＷＳＬ まとめ
Windows Subsystem for Linux は
Windows 上で Linux の資産を活かす技術
WSL1 は 直接 Windows で実行
WSL2 は Docker 上で実行
再現度は WSL2 が高く、気軽さは WSL1 が高い

53. 余談集

54. フォレンジックしたい
WSL1
NTFS 上にファイルが書かれる
基本的にはWindows のフォレンジックでよい
ＷＳＬ２
vhdx ファイルを読む
こういうツールを使って raw にすればあとは楽
http://euee.web.fc2.com/tool/nhc.html

55. フォレンジックしたい
プロセスのログとしては下記の起動ログを追う
wslhost.exe

56. 検知システムを書きたい！ (WSL1)
 PsSetCreateProcessNotifyRoutineEx2
 PsSetCreateThreadNotifyRoutineEx
この関数を使ってフックを掛ける
typedef enum _SUBSYSTEM_INFORMATION_TYPE {
SubsystemInformationTypeWin32,
SubsystemInformationTypeWSL,
MaxSubsystemInformationType
}