搜索

[29102] 2021-08-03_【漏洞利用】利用UBUNTUSHIFTFS驱动程序中的DOUBLEFREE漏洞(CVE-2021-3492)

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2021-08-03_【漏洞利用】利用UBUNTUSHIFTFS驱动程序中的DOUBLEFREE漏洞(CVE-2021-3492) 【 漏 洞 利 用 】 利 用   U B U N T U   S H I F T F S   驱 动 程 序 中 的   D O U B L E   F R E E   漏 洞   ( C V E - 2 0 2 1 - 3 4 9 2 ) O t s 安 全   2 0 2 1 - 0 8 - 0 3 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 今 年 ， 国 际 竞 赛   P w n 2 O w n   V a n c o u v e r   再 次 于   4   月 初 举 行 。 在 不 同 的 类 别 中 ， 本 地 提 权 类 别   ( L P E )   建 议 使 用 两 种 主 要 操 作 系 统 ： L i n u x   ( U b u n t u )   和   W i n d o w s   1 0 。 本 文 介 绍 了 如 何 在 本 次 比 赛 中 发 现 和 利 用   U b u n t u   内 核 漏 洞 以 获 得 r o o t   访 问 权 限 来 自 非 特 权 用 户 。 介 绍 在 零 日 计 划 博 客 中 宣 布 ， 2 0 2 1   年 版 的   P w n 2 O w n   V a n c o u v e r   鼓 励 在 不 同 目 标 中 搜 索 漏 洞 。 我 选 择 尝 试 使 用   U b u n t u   L o c a l   E s c a l a t i o n   o f   P r i v i l e g e   条 目 来 寻 找   L i n u x   内 核 漏 洞 。 这 篇 博 文 将 这 次 冒 险 从 漏 洞 研 究 开 始 ， 到 绕 过 内 核 保 护 （ K A S L R 、 S M A P ） 的 利 用 。 此 处 介 绍 的 漏 洞 在 比 赛 期 间 被 使 用 ， 并 披 露 给   U b u n t u   团 队 ， 后 者 迅 速 对 其 进 行 了 修 补 。 C V E - 2 0 2 1 - 3 4 9 2   已 分 配 给 此 错 误 。 由 于 补 丁 涉 及 L i n u x 内 核 ， 更 新 后 不 要 忘 记 重 启 。 受 影 响 的 版 本 受 影 响 的 版 本 S h i f t f s   驱 动 程 序 仅 存 在 于   U b u n t u   内 核 中 ， 因 为 它 还 没 有 上 传 到   k e r n e l . o r g   内 核 中 。 此 漏 洞 已 在 桌 面 版 和 服 务 器 版 的   U b u n t u   G r o o v y   ( 2 0 . 1 0 )   和   U b u n t u   F o c a l   ( 2 0 . 0 4 )   上 进 行 了 检 查 。 未 检 查 以 前 版 本 的   U b u n t u 。 添 加 此 漏 洞 的 代 码 已 于   2 0 1 9   年   4   月 提 交 。 要 检 查 您 的 内 核 是 否 不 易 受 到 攻 击 ， 以 下 是 通 用 内 核   ( x 8 6 )   的 修 补 版 本 ： G r o o v y   版 本 已 更 正 ， 因 为 内 核 版 本 ： 5 . 8 . 0 - 5 0 . 5 6 核 心 版 本 已 更 正 ， 因 为 内 核 版 本 ： 5 . 4 . 0 - 7 2 . 8 0 利 用 代 码 利 用 代 码 S y n a c k t i v   G i t h u b   中 提 供 了 完 整 漏 洞 利 用 的 源 代 码 参 考   h t t p s : / / g i t h u b . c o m / s y n a c k t i v / C V E - 2 0 2 1 - 3 4 9 2 / b l o b / m a s t e r / e x p l o i t / m a i n . c 此   P o C   是 为   U b u n t u   2 0 . 1 0   ( 5 . 8 . 0 - x x - g e n e r i c )   x 8 6   6 4   位 开 发 的 。 来 自 非 特 权 用 户 的 内 核 攻 击 面 P w n 2 O w n 的 规 则 规 定 接 受 的 漏 洞 必 须 是 内 核 漏 洞 。 尽 管 用 户 空 间 本 身 可 以 包 含 很 多 用 于 本 地 提 权 的 表 面 ， 但 我 只 针 对   U b u n t u   发 行 版 的   L i n u x   内 核 。 可 以 下 载 用 于 构 建 当 前 内 核 包 的 内 核 源 代 码 ， 并 且 有 一 个 G i t   存 储 库 。 目 标 是 从 标 准 用 户 那 里 获 得   r o o t   权 限   ( U I D   0 ) 。 在 大 多 数   L i n u x   发 行 版 上 ， r o o t   用 户 和 内 核 代 码 执 行 之 间 没 有 界 限 ， 因 为   r o o t   可 以 加 载 内 核 模 块 、 在 块 设 备 上 写 入 等 。 在 想 知 道 非 特 权 用 户 可 以 做 什 么 之 前 ， 让 我 们 列 举 一 个 进 程 如 何 与 内 核 交 互 。 用 户 产 生 的 进 程 在   x 8 6 （ A R M   上 的   E L 0 ） 上 执 行 环   3   中 的 指 令 。 它 只 能 访 问 自 己 的 虚 拟 内 存 或 需 要 执 行 系 统 调 用 才 能 与 操 作 系 统 交 互 。 列 出 内 核 攻 击 面 的 一 个 很 好 的 起 点 是 列 出 所 有 可 用 的 系 统 调 用 。 系 统 调 用 由 存 储 在 寄 存 器 中 的 数 字 标 识 。 根 据 系 统 调 用 ， 用 户 态 进 程 可 以 通 过 设 置 其 他 寄 存 器 来 提 供 参 数 。 有 多 种 方 法 可 以 列 出 可 用 的 系 统 调 用 ： g r e p   - R   " S Y S C A L L . * _ D E F I N E "   在 源 代 码 中 并 检 查 它 们 是 否 被 编 译 _ _ x 6 4 _ s y s _ * 在   v m l i n u x   或   / p r o c / k a l l s y m s   中 搜 索 符 号 查 看 编 译 后 的 二 进 制 文 件 中 的 s y s c a l l 表 使 用 来 自 用 户 空 间 的 内 核 跟 踪 器   ( f t r a c e )   检 查 系 统 调 用 背 后 是 否 有 内 容 如 果 您 尝 试 对 每 个 可 能 的 数 字 不 带 参 数 使 用 系 统 调 用 ， 您 可 能 无 法 区 分 未 实 现 的 系 统 调 用 和 正 常 错 误 之 间 的 区 别 。 所 以 我 创 建 了 一 个 小 的   s h e l l   脚 本 ， 它 使 用   f t r a c e   来 定 位 每 个 可 能 的 系 统 调 用 数 量 的 内 核 处 理 程 序 。 这 是 可 用 系 统 调 用 的 结 果 列 表 。 请 注 意 ， 对 于   6 4   位 机 器 ， 3 2   位 系 统 调 用 也 可 以 完 成 ， 并 由 另 一 个 使 用   3 2   位 参 数 的 处 理 程 序 管 理 。
系 统 调 用 列 表 只 是 与 内 核 对 话 的 第 一 个 入 口 点 。 但 不 是 使 用 新 数 字 ， 而 是 许 多 系 统 调 用 导 致 多 个 函 数 。 最 常 见 的 例 子 是 有 关 的 那 些 文 件 的 描 述 ， 像 o p e n ， r e a d ， w r i t e ， i o c t l ， 等 。 事 实 上 文 件 描 述 符 可 以 有 很 多 的 L i n u x 系 统 上 的 不 同 的 事 情 ： 由 文 件 系 统 管 理 的   i n o d e （ 文 件 或 目 录 ） 。 系 统 调 用 的 内 核 处 理 程 序 取 决 于 文 件 系 统 ， 因 此 每 个 支 持 / 挂 载 的 文 件 系 统 都 有 一 个 全 新 的 表 面 。 还 有 一 些 特 殊 的 内 核 文 件 系 统 ： p r o c f s 、 s y s f s 、 d e b u g f s 、 c g r o u p   等 。 甲 特 殊 由 内 核 驱 动 程 序 （ 框 或 字 符 设 备 ） 允 许 与 驱 动 程 序 通 信 提 供 的 文 件 。 通 常 ， 特 殊 文 件 位 于   / d e v   中 。 每 个 设 备 都 提 供 了 一 个 有 趣 的 攻 击 面 。 来 自 s o c k e t 系 统 调 用 的 用 于 网 络 通 信 的 句 柄 。 底 层 内 核 处 理 程 序 取 决 于 所 使 用 的 网 络 协 议 类 型 ， 并 且 有 很 多 扭 曲 的 用 法 。 其 他 几 个 基 于 文 件 描 述 符 的   A P I ： 共 享 内 存 、 管 道 、 p i d f d 、 i o _ u r i n g 、 . . . 所 以 从 这 少 量 的 系 统 调 用 中 ， 有 一 个 巨 大 的 内 核 表 面 。 然 而 ， 许 多 内 核 可 访 问 的 代 码 只 能 从 已 经 有 特 权 的 用 户 那 里 获 得 。 为 了 限 制 非 特 权 用 户 的 功 能 ， 内 核 通 常 使 用 功 能 （ 请 参 阅   参 考 资 料 m a n   7   c a p a b i l i t i e s ） 。 限 制 功 能 的 另 一 种 方 法 是 为 来 自   V F S （ 来 自 文 件 路 径 ） 的 所 有 表 面 设 置 文 件 权 限 。 例 如 ， U b u n t u   只 允 许 r o o t 读 / 写 块 设 备   / d e v / m e m （ 可 能 会 被 删 除 ） 。 此 外 ， 逐 渐 添 加 了 许 多 极 端 情 况 和 特 殊 行 为 以 支 持 新 功 能 ， 同 时 保 持 与 以 前 的 用 户 空 间 代 码 的 兼 容 性 。 其 中 一 些 新 功 能 已 添 加 到 容 器 中 。 例 如 ， 命 名 空 间 用 于 在 内 核 对 象 （ 进 程 、 V F S 、 I P C   等 ） 上 添 加 更 多 隔 离 。 容 器 有 两 种 方 法 ： 容 器 是 从 根 进 程 启 动 的 ， 并 且 除 了 用 户 命 名 空 间 之 外 ， 还 具 有 独 立 的 命 名 空 间 。 这 意 味 着 容 器 内 的   U I D   与 主 机 上 的 相 同 （ 从 内 核 角 度 来 看 ） 。 在 这 种 情 况 下 ， 有 几 个 新 的 限 制 可 以 防 止 容 器 内 的 根 进 程 影 响 主 机 。 例 如 ， 删 除 了 许 多 功 能 。 容 器 是 从 使 用 新 用 户 命 名 空 间 的 特 权 用 户 启 动 的 。 创 建 此 新 命 名 空 间 时 ， 会 映 射   U I D 。 所 以 一 个 进 程 在 它 自 己 的 用 户 命 名 空 间 中 可 以 是   U I D   0 。 它 还 可 以 获 得 所 有 功 能 ， 但 它 们 仅 在 此 用 户 命 名 空 间 内 有 意 义 。 为 了 支 持 这 种 行 为 ， 对 于 特 权 操 作 ， 内 核 不 检 查 进 程 是 否 具 有 能 力 ， 而 是 检 查 它 是 否 在 根 命 名 空 间 内 具 有 能 力 。 这 听 起 来 很 奇 怪 ， 因 为 这 两 种 方 法 完 全 不 同 。 许 多 发 行 版 禁 止 从 非 特 权 用 户 创 建 新 的 用 户 命 名 空 间 。 由 于 该 功 能 是   L i n u x   内 核 中 的 主 线 ， 因 此 可 以 通 过   s y s t c t l   选 项 （ 系 统 范 围 内 的 ） 禁 用 / 启 用 此 功 能 ： 非 特 权 用 户 可 以 在   U b u n t u   发 行 版 上 访 问 更 多 内 核 代 码 ， 因 为 默 认 情 况 下 启 用 非 特 权 用 户 命 名 空 间 。 使 用 u n s h a r e 或 c l o n e 系 统 调 用 ， 可 以 创 建 一 个 新 的 用 户 命 名 空 间 ， 然 后 获 得 所 有 功 能 。 当 然 ， 这 些 功 能 仅 适 用 于 用 户 拥 有 的 资 源 ， 但 现 在 允 许 了 一 些 通 常 禁 止 普 通 用 户 执 行 的 操 作 。 在 这 些 操 作 中 ， 用 户 可 以 创 建 其 他 类 型 的 命 名 空 间 （ 挂 载 、 网 络 等 ） 并 在 其 挂 载 命 名 空 间 内 挂 载 多 个 文 件 系 统 。 并 非 所 有 文 件 系 统 都 可 以 作 为 普 通 用 户 挂 载 。 在 内 核 代 码 中 ， 该 标 志 F S _ U S E R N S _ M O U N T 用 于 定 义 给 定 的 文 件 系 统 是 否 可 以 由 非   r o o t   用 户 挂 载 。 这 个 标 志 是 为 一 些 文 件 系 统 设 置 的 ： a n d r o i d / b i n d e r f s m q u e u e s h m e m s y s f s r a m f s   ( t m p f s ) o v e r l a y f s p r o c a u f s f u s e $   s u d o   s y s c t l   k e r n e l . u n p r i v i l e g e d _ u s e r n s _ c l o n e k e r n e l . u n p r i v i l e g e d _ u s e r n s _ c l o n e   =   1 $   u n s h a r e   - U   - r   #   c r e a t e   a   u s e r n s   w h e r e   u i d   0   i s   m a p p e d   o n   c u r r e n t   u s e r $   u n s h a r e   - m         #   c r e a t e   a   m o u n t   n a m e s p a c e $   m o u n t   - t   t m p f s   n o n e   [ d i r ]
s h i f t f s d e v p t s c g r o u p 此 外 ， 即 使 文 件 系 统 驱 动 程 序 是 内 核 模 块   ( . k o ) ， 它 也 会 在 发 出 挂 载 系 统 调 用 时 自 动 加 载 。 在 漏 洞 研 究 中 ， 如 果 之 前 有 很 多 审 计 ， 有 趣 的 目 标 是 ： 不 太 常 见 的 表 面 。 在 这 里 ， 带 有 用 户 名 称 空 间 的 表 面 可 能 是 一 个 不 错 的 选 择 ， 因 为 许 多 其 他 发 行 版 都 阻 止 了 它 。 最 近 添 加 的 或 特 定 于 目 标 的 代 码 。 例 如 ， 来 自   U b u n t u   的 非 主 线 修 改 （ 因 此 不 存 在 于 其 他 发 行 版 中 ） 。 因 此 ， 我 审 查 的 第 一 个 驱 动 程 序 是 s h i f t f s ， 因 为 该 驱 动 程 序 仅 存 在 于   U b u n t u   内 核 中 ， 鲜 为 人 知 且 可 由 非 特 权 用 户 安 装 。 幸 运 的 是 ， 我 在 这 个 驱 动 程 序 中 发 现 了 一 个 足 够 强 大 的 漏 洞 ， 可 以 用 这 个 单 一 的 错 误 执 行 本 地 权 限 提 升 。 S h i f t F S   双 免 费 漏 洞 双 免 费 漏 洞   ( C V E - 2 0 2 1 - 3 4 9 2 ) 此 处 介 绍 的 漏 洞 存 在 于 文 件 系 统 驱 动 程 序 s h i f t f s   中 。 这 是 一 种 覆 盖 类 型 的 文 件 系 统 ， 允 许 绑 定 挂 载 目 录 并 使 用 用 户 名 称 空 间 所 有 者 （ 已 执 行 挂 载 的 人 ） 的 映 射 来 移 动   U I D   和   G I D 。 这 对 于 有 效 引 导 非 特 权 容 器 似 乎 很 有 用 。 我 发 现 只 有 两 个 资 源 描 述 了 该 功 能 ： h t t p s : / / d i s c u s s . l i n u x c o n t a i n e r s . o r g / t / t r y i n g - o u t - s h i f t f s / 5 1 5 5 h t t p s : / / l w n . n e t / A r t i c l e s / 6 8 7 3 5 4 / 要 访 问 文 件 系 统 代 码 ， 我 们 需 要 调 用 特 定 于 该 文 件 系 统 的 “ m o u n t ” 函 数 。 如 前 所 述 ， 可 以 创 建 一 个 用 户 命 名 空 间 并 挂 载 它 ： 目 录 内 的 所 有 文 件 操 作 d 2 将 首 先 由   s h i f t f s   驱 动 程 序 处 理 。 当 使 用 选 项 “ m a r k ” 和 “ p a s s t h r o u g h = 2 ” 挂 载 时 ， s h i f t f s   文 件 系 统 会 处 理 特 殊 的   i o c t l ， 主 要 是 将 它 们 转 发 到 下 面 的 文 件 系 统 。 如 果   i o c t l   编 号 在 白 名 单 中 ， s h i f t f s _ r e a l _ i o c t l 则 调 用 该 函 数 。 当 使 用 B T R F S _ I O C _ S N A P _ C R E A T E i o c t l   时 ， 该 函 数 s h i f t f s _ b t r f s _ i o c t l _ f d _ r e p l a c e 用 于 将 结 构 从 用 户 空 间 复 制 到 内 核 空 间 。 此 代 码 的 目 标 是 通 过 将 结 构   b t r f s _ i o c t l _ v o l _ a r g s   中 包 含 的 文 件 描 述 符 替 换 为 链 接 到 底 部 文 件 系 统 中 的   i n o d e 的 新 文 件 描 述 符 来 包 装 遗 留 的   b t r f s   i o c t l 。 该 结 构 的 长 度 为   4 0 9 6   字 节 ， 如 用 户   A P I   标 头 中 所 定 义 ： $   m k d i r   d 1   d 2 $   u n s h a r e   - U   - r $   u n s h a r e   - m $   m o u n t   - t   t m p f s   n o n e   d 1 $   m o u n t   - t   s h i f t f s   - o   m a r k , p a s s t h r o u g h = 2   d 1   d 2 s t a t i c   l o n g   s h i f t f s _ r e a l _ i o c t l ( s t r u c t   f i l e   * f i l e ,   u n s i g n e d   i n t   c m d ,   u n s i g n e d   l o n g   a r g ) { i n t   n e w f d   =   - E B A D F ; l o n g   e r r   =   0 ,   r e t   =   0 ; v o i d   _ _ u s e r   * a r g p   =   ( v o i d   _ _ u s e r   * ) a r g ; s t r u c t   b t r f s _ i o c t l _ v o l _ a r g s   * b t r f s _ v 1   =   N U L L ; s t r u c t   b t r f s _ i o c t l _ v o l _ a r g s _ v 2   * b t r f s _ v 2   =   N U L L ;         r e t   =   s h i f t f s _ b t r f s _ i o c t l _ f d _ r e p l a c e ( c m d ,   a r g p ,   & b t r f s _ v 1 ,   & b t r f s _ v 2 ,   & n e w f d ) ; i f   ( r e t   <   0 ) r e t u r n   r e t ; / /   h e r e   w r a p p e r   t o   v f s _ i o c t l ( ) / /   . . .         e r r   =   s h i f t f s _ b t r f s _ i o c t l _ f d _ r e s t o r e ( c m d ,   n e w f d ,   a r g p ,   b t r f s _ v 1 ,   b t r f s _ v 2 ) ; i f   ( ! r e t )                 r e t   =   e r r ; r e t u r n   r e t ; } # d e f i n e   B T R F S _ P A T H _ N A M E _ M A X   4 0 8 7 s t r u c t   b t r f s _ i o c t l _ v o l _ a r g s   {         _ _ s 6 4   f d ;
如 果 在   s h i f t f s   管 理 的 文 件 上 执 行 此   i o c t l ， 则 处 理 代 码 会 将 结 构   b t r f s _ i o c t l _ v o l _ a r g s   从 用 户 空 间 复 制 到 内 核 空 间 。 替 换 此 结 构 中 的   f d   字 段 后 ， 将 其 复 制 回 用 户 空 间 ： 该 函 数 c o p y _ t o _ u s e r 返 回 剩 余 字 节 数 。 如 果 在 复 制 过 程 中 发 生 故 障 ， 则 返 回 正 值 。 在 调 用 函 数 中 s h i f t f s _ r e a l _ i o c t l ， 通 过 检 查 返 回 值 是 否 为 负 来 检 测 错 误 。 因 此 ， 即 使 发 生 错 误 ， 也 会 执 行 标 称 路 径 ， 导 致 s h i f t f s _ b t r f s _ i o c t l _ f d _ r e s t o r e 第 二 次 调 用 。 这 个 函 数 执 行 另 一 个 c o p y _ t o _ u s e r 将 结 构 再 次 发 送 b t r f s _ i o c t l _ v o l _ a r g s 到 用 户 空 间 然 后 释 放 它 。 只 能 同 时 设 置 v 1 或 之 一 v 2 。 两 种 结 构 都 会 导 致 相 同 的 漏 洞 并 具 有 相 同 的 大 小 。 调 用 两 次 s h i f t f s _ b t r f s _ i o c t l _ f d _ r e s t o r e 导 致 ： 1 .   关 闭 两 次 相 同 的   f d 2 .   释 放 两 次 相 同 的 结 构 s h i f t f s _ b t r f s _ i o c t l _ f d _ r e p l a c e 在 从 用 户 空 间 复 制 期 间 已 分 配 此 结 构 ： 核 函 数 同 时 m e m d u p _ u s e r 执 行 c o p y _ f r o m _ u s e r 分 配 和 分 配 。 此 分 配 使 用 带 有   G F P _ U S E R   标 志 的 k m a l l o c ， 它 使 用 与   G F P _ K E R N E L   相 同 的 平 板 。 总 而 言 之 ， 当 出 现 故 障 时 c o p y _ t o _ u s e r ：         _ _ s 6 4   f d ; c h a r   n a m e [ B T R F S _ P A T H _ N A M E _ M A X   +   1 ] ; } ; s t a t i c   i n t   s h i f t f s _ b t r f s _ i o c t l _ f d _ r e p l a c e ( i n t   c m d ,   v o i d   _ _ u s e r   * a r g , s t r u c t   b t r f s _ i o c t l _ v o l _ a r g s   * * b 1 , s t r u c t   b t r f s _ i o c t l _ v o l _ a r g s _ v 2   * * b 2 , i n t   * n e w f d ) { / /   . . . i f   ( c m d   = =   B T R F S _ I O C _ S N A P _ C R E A T E )   {                 v 1 - > f d   =   * n e w f d ;                 r e t   =   c o p y _ t o _ u s e r ( a r g ,   v 1 ,   s i z e o f ( * v 1 ) ) ;                 v 1 - > f d   =   o l d f d ;         }   e l s e   { / /   . . .         } i f   ( r e t )                 s h i f t f s _ b t r f s _ i o c t l _ f d _ r e s t o r e ( c m d ,   * n e w f d ,   a r g ,   v 1 ,   v 2 ) ; r e t u r n   r e t ; } s t a t i c   i n t   s h i f t f s _ b t r f s _ i o c t l _ f d _ r e s t o r e ( i n t   c m d ,   i n t   f d ,   v o i d   _ _ u s e r   * a r g , s t r u c t   b t r f s _ i o c t l _ v o l _ a r g s   * v 1 , s t r u c t   b t r f s _ i o c t l _ v o l _ a r g s _ v 2   * v 2 ) { i n t   r e t ; i f   ( ! i s _ b t r f s _ s n a p _ i o c t l ( c m d ) ) r e t u r n   0 ; i f   ( c m d   = =   B T R F S _ I O C _ S N A P _ C R E A T E )                 r e t   =   c o p y _ t o _ u s e r ( a r g ,   v 1 ,   s i z e o f ( * v 1 ) ) ; e l s e                 r e t   =   c o p y _ t o _ u s e r ( a r g ,   v 2 ,   s i z e o f ( * v 2 ) ) ;         _ _ c l o s e _ f d ( c u r r e n t - > f i l e s ,   f d ) ;         k f r e e ( v 1 ) ;         k f r e e ( v 2 ) ; r e t u r n   r e t ; } v 1   =   m e m d u p _ u s e r ( a r g ,   s i z e o f ( * v 1 ) ) ;
虽 然 可 以 在 此 分 配 上 触 发 双 重 释 放 ， 但 也 有 可 能 忘 记 分 配 ， 从 而 永 远 失 去 此 内 存 。 实 际 上 ， 如 果   的 值 v 1 - > f d 针 对 当 前 进 程 中 的 无 效 文 件 描 述 符 ， 则 该 函 数 返 回 负 错 误 并 且 k f r e e 永 远 不 会 执 行 。 这 个 错 误 允 许 任 何 用 户 填 满 整 个 内 核 内 存 ， 直 到 系 统 内 存 不 足 。 同 步 用 户 空 间 和 内 核 空 间 同 步 用 户 空 间 和 内 核 空 间 双 重 释 放 允 许 通 过 在 两 次 释 放 操 作 之 间 分 配 相 同 类 型 的 内 核 内 存 块 并 在 第 二 次 释 放 后 喷 射 受 控 对 象 来 接 管 相 同 类 型 的 内 核 内 存 块 。 所 以 需 要 以 下 元 素 ： 一 种 在 第 一 个 空 闲 和 第 二 个 空 闲 之 间 阻 塞 内 核 的 方 法 。 受 害 者 ： 相 同 类 型 的 内 存 块   ( k m a l l o c - 4 0 9 6 ) ， 它 可 以 提 供 漏 洞 利 用 原 语 ， 如 内 核 内 存 读 / 写 。 一 种 喷 射 技 术 ， 允 许 创 建 相 同 类 型 的 内 存 块 并 用 受 控 数 据 填 充 其 内 容 。 U b u n t u   内 核 配 置 已 经 C O N F I G _ P R E E M P T _ V O L U N T A R Y 设 置 。 这 意 味 着 内 核 在 执 行 内 核 代 码 时 不 会 被 调 度 程 序 抢 占 ， 除 非 代 码 自 愿 要 求 它 。 然 而 ， 有 几 种 已 知 的 技 术 允 许 在 执 行 某 些 操 作 时 阻 塞 内 核 。 在 我 们 的 例 子 中 ， 在 第 一 个 f r e e   和 第 二 个   f r e e   之 间 调 用 的 几 个 函 数 可 以 被 阻 塞 ： v f s _ i o c t l 在 较 低 的   i n o d e   上 执 行 。 使 用 带 有   F U S E   的 用 户 控 制 的 文 件 系 统 可 以 阻 止 对 文 件 的 任 何 操 作 。 c o p y _ t o _ u s e r 在 每 次 调 用   k f r e e   之 前 执 行 。 使 用   u s e r f a u l t f d   允 许 阻 止 操 作 。 c l o s e _ f d 在 每 次 调 用   k f r e e   之 前 执 行 。 此 操 作 可 以 使 内 核 在 特 殊 条 件 下 休 眠 。 该 u s e r f a u l t f d 方 法 已 在 利 用 被 使 用 。 U b u n t u   g r o o v y   ( 2 0 . 1 0 )   的 内 核 引 入 了 一 项 新 功 能 ， 允 许 用 户 空 间 程 序 根 据 写 入 错 误 管 理 其 页 面 。 虽 然 可 以 根 据 页 面 错 误 管 理 页 面 ， 但 现 在 可 以 定 义 写 保 护 页 面 并 在 执 行 写 入 时 由 内 核 调 用 。 它 的 用 法 很 简 单 ， 漏 洞 利 用 创 建 了 两 个 线 程 ： 一 个 在 c o p y _ t o _ u s e r （ 内 核 模 式 ） 期 间 触 发 写 入 错 误 ， 而 另 一 个 处 理 此 错 误 。 在 此 处 理 期 间 （ 不 受 时 间 限 制 ） ， 第 一 个 线 程 在   s h i f t f s   内 核 代 码 中 并 被 阻 塞 ， 直 到 第 二 个 线 程 选 择 解 除 阻 塞 的 情 况 。 该 漏 洞 利 用 分 配 了 两 页 用 户 空 间 内 存 。 使 用 在 这 两 个 页 面 中 使 用 字 节 的 结 构 调 用 易 受 攻 击 的   i o c t l 。 通 过 将 第 一 页 设 置 为 写 保 护 ， 在 c o p y _ t o _ u s e r .   在 故 障 处 理 中 ， 第 二 页 被 标 记 为 写 保 护 ， 而 第 一 页 被 设 置 为 可 写 。 此 方 法 允 许 c o p y _ t o _ u s e r 在 同 一 结 构 上 阻 止 内 核 执 行 的 多 个 操 作 。 c o p y _ t o _ u s e r 在 第 一 次 释 放 之 后 进 行 的 事 实 意 味 着 ， 如 果 在 受 害 者 被 分 配 （ 对 于 第 一 页 ） 后   u s e r f a u l t f d   回 调 解 除 内 核 阻 塞 ， 则 受 害 者 内 容 被 复 制 到 用 户 空 间 内 存 。 下 图 显 示 了 漏 洞 利 用 所 使 用 的 内 存 映 射 和 保 护 序 列 ：
在 同 一 个 在 同 一 个   S L A B   中 寻 找 受 害 者 中 寻 找 受 害 者 L i n u x   内 核 有 几 种 分 配 内 存 的 方 法 。 大 多 数 分 配 使 用 k m a l l o c 由   S L U B   分 配 器 管 理 。 当 驱 动 程 序 需 要 一 块 内 存 时 ， 会 根 据 请 求 的 大 小 使 用 相 应 的 缓 存 。 例 如 ， 这 个   b u g   中 使 用 的 内 存 大 小 为   4 0 9 6   ： S L U B   分 配 器 将 使 用 缓 存 k m a l l o c - 4 0 9 6 。 由 于 存 在 用 于 上 的 两 个 电 源 对 齐 尺 寸 缓 存 ， 这 个 高 速 缓 存 包 含 用 于 分 配 的 大 小 的 块 2 0 9 7   4 0 9 6 之 间 的 高 速 缓 存 中 含 有 的 列 表 板 坯 的 存 储 器 几 个 连 续 块 组 成 。 当 k f r e e 被 调 用 时 ， 块 被 添 加 到 f r e e _ l i s t 它 的 s l a b 中 。 要 使 用 双 重 空 闲 来 接 管 块 ， 我 们 只 需 要 确 保 以 下 几 点 ： 第 一 个 法 线 k f r e e 是 在 已 知 的   C P U   上 进 行 的 受 害 者 被 分 配 在 相 同 的   C P U   上 ， 使 用 k m a l l o c 兼 容 的 大 小 来 使 用 相 同 的 平 板 。 因 为 每 个   C P U   都 有 一 个 始 终 对 应 最 新 的 s l a b k f r e e ， 所 以 返 回 的 块 与   1   中 的 相 同 。 第 二 辆 马 车 k f r e e 制 作 完 成 。 在 同 一   C P U   上 进 行 另 一 次 分 配 ， 大 小 相 同 ， 以 控 制 受 害 者 的 新 内 容 。 该 漏 洞 利 用 在 同 一   C P U   上 使 用   执 行 所 有 这 些 操 作 s c h e d _ s e t a f f i n i t y ， 这 对 于 非 特 权 用 户 是 允 许 的 。 为 了 防 止 其 他 内 核 分 配 的 竞 争 ， 它 们 必 须 在 一 个 小 的 时 间 窗 口 内 进 行 。 但 是 如 何 找 到 合 适 的 受 害 者 呢 ？ 我 们 需 要 让 内 核 在   2 0 9 7   到   4 0 9 6   字 节 之 间 分 配 一 个 块 ， 这 对 于 了 解   K A S L R   偏 移 和 / 或 获 得 某 种 强 大 的 原 语 （ 如 任 意 写 入 或 调 节 执 行 流 程 的 方 法 ） 很 有 用 。 我 使 用 了 两 种 方 法 来 定 位 受 害 者 ： 我 构 建 了 一 个 合 适 对 象 的 数 据 库 。 使 用 相 同 的 源 代 码 和 相 同 的 配 置 ， 构 建 了 一 个 带 有 调 试 数 据 的 v m l i n u x 。 然 后 ， 使 用 p a h o l e ， 提 取 了 所 有 内 核 结 构 名 称 和 大 小 。 由 于 内 核 通 常 分 配 结 构 大 小 的 块 ， 因 此 这 是 寻 找 受 害 者 的 好 方 法 。 在 运 行 时 ， 可 以 使 用 内 核 跟 踪 器 来 显 示 内 核 所 做 的 所 有 分 配 。 通 过 过 滤 分 配 大 小 ， 可 以 通 过 生 成 系 统 活 动 （ 例 如 ， 启 动 浏 览 器 … … ） 来 找 到 潜 在 的 受 害 者 。 事 实 证 明 ， 潜 在 的 受 害 者 并 不 多 。 希 望 我 找 到 了 一 个 有 趣 的 ， 它 也 可 以 从 非 特 权 用 户 触 发 ： d e v i n e t _ s y s c t l _ t a b l e 。 该 漏 洞 利 用 的 受 害 者 是 网 络   s y s c t l   表 之 一 。 这 些 表 是 在 启 动 时 为 主 网 络 堆 栈 创 建 的 。 但 是 ， 网 络 命 名 空 间 使 用 专 用 的   s y s c t l   表 。 可 以 使 用 路 径   / p r o c / s y s / n e t /   中 的   p r o c f s   文 件 系 统 读 取 和 写 入 这 些 配 置 值 。 创 建 新 的 网 络 命 名 空 间 时 ， 分 配 的 第 一 个   k m a l l o c - 4 0 9 6   块 存 储 堆 栈 的   I P v 4   通 用   s y s c t l   表 。 该 表 由 文 件   n e t / i p v 4 / d e v i n e t . c   管 理 。 分 配 的 是 全 局 表   d e v i n e t _ s y s c t l _ t a b l e   的 副 本 。 这 可 以 在 执 行 以 下 操 作 后 使 用 内 核 跟 踪 器 进 行 检 查 u n s h a r e   - n ： s t a t i c   s t r u c t   d e v i n e t _ s y s c t l _ t a b l e   { s t r u c t   c t l _ t a b l e _ h e a d e r   * s y s c t l _ h e a d e r ; s t r u c t   c t l _ t a b l e   d e v i n e t _ v a r s [ _ _ I P V 4 _ D E V C O N F _ M A X ] ; }   d e v i n e t _ s y s c t l =   {         . d e v i n e t _ v a r s   =   {                 D E V I N E T _ S Y S C T L _ C O M P L E X _ E N T R Y ( F O R W A R D I N G ,   " f o r w a r d i n g " , d e v i n e t _ s y s c t l _ f o r w a r d ) ,                 D E V I N E T _ S Y S C T L _ R O _ E N T R Y ( M C _ F O R W A R D I N G ,   " m c _ f o r w a r d i n g " ) ,                 D E V I N E T _ S Y S C T L _ R W _ E N T R Y ( B C _ F O R W A R D I N G ,   " b c _ f o r w a r d i n g " ) , / /   . . .         } } b a s h - 1 9 1 2         [ 0 0 2 ]   . . . .     5 5 1 5 . 3 0 6 5 5 1 :   k m a l l o c :   c a l l _ s i t e = _ _ d e v i n e t _ s y s c t l _ r e g i s t e r + 0 x 4 7 / 0 x 1 1 0   p t r = 0 0 0 0 0 0 0 0 5 5 2 c 1 9 f 5   b y t e s _ r e q = 2 1 2 0   b y t e s _ a l l o c = 4 0 9 6   g f p _ f l a g s = G F P _ K E R N E L b a s h - 1 9 1 2         [ 0 0 2 ]   . . . .     5 5 1 5 . 3 0 6 5 9 5 :   k m a l l o c :   c a l l _ s i t e = _ _ d e v i n e t _ s y s c t l _ r e g i s t e r + 0 x 4 7 / 0 x 1 1 0   p t r = 0 0 0 0 0 0 0 0 7 d d 4 7 f 0 d   b y t e s _ r e q = 2 1 2 0   b y t e s _ a l l o c = 4 0 9 6   g f p _ f l a g s = G F P _ K E R N E L b a s h - 1 9 1 2         [ 0 0 2 ]   . . . .     5 5 1 5 . 3 0 6 7 4 2 :   k m a l l o c :   c a l l _ s i t e = m r _ t a b l e _ a l l o c + 0 x 4 2 / 0 x 1 0 0   p t r = 0 0 0 0 0 0 0 0 5 9 8 a b 7 9 9   b y t e s _ r e q = 3 6 0 8   b y t e s _ a l l o c = 4 0 9 6   g f p _ f l a g s = G F P _ K E R N E L | _ _ G F P _ Z E R O b a s h - 1 9 1 2         [ 0 0 2 ]   . . . .     5 5 1 5 . 3 0 6 7 6 6 :   k m a l l o c :   c a l l _ s i t e = i p v 4 _ m i b _ i n i t _ n e t + 0 x f 4 / 0 x 1 a 0   p t r = 0 0 0 0 0 0 0 0 d 0 d 7 1 2 7 7   b y t e s _ r e q = 4 0 9 6   b y t e s _ a l l o c = 4 0 9 6   g f p _ f l a g s = G F P _ K E R N E L | _ _ G F P _ Z E R O
创 建 网 络 命 名 空 间 会 分 配 匹 配 相 同 块 大 小 的 其 他 块 。 当 进 行 多 次 分 配 时 ， C P U   S l a b   可 能 会 被 新 的   S l a b   替 换 ， 从 而 丢 失 插 入 全 局 部 分 列 表 中 的 牺 牲   S l a b （ 包 含 未 绑 定 到   C P U   的 空 闲 块 的   S l a b ） 。 为 了 取 回 这 个 s l a b ， 漏 洞 利 用 分 配 了 比 一 个 s l a b 中 的 块 数 更 多 的 块 。 在 我 们 的 例 子 中 ， 一 个 s l a b 包 含 8 个 块 ， 为 了 取 回 受 害 者 s l a b ， 最 后 分 配 了 8 个 以 上 的 块 。 所 选 择 的 受 害 者 非 常 有 趣 ， 因 为 它 包 含 一 个 c t l _ t a b l e 定 义 如 下 的 结 构 ： 该 p r o c _ h a n d l e r 字 段 是 一 个 函 数 指 针 ！ 通 过 泄 漏 其 原 始 值 ， 可 以 检 索   K A S L R   偏 移 量 。 对 于 网 络   s y s c t l ， 第 一 个 指 针 d e v i n e t _ s y s c t l _ f o r w a r d 用 于 通 过 从 内 核 符 号 文 件 中 减 去 其 基 地 址 来 计 算   K A S L R   偏 移 量 。 此 外 ， s y s c t l   头 地 址 在 结 构 的 开 头 泄 漏 。 这 是 一 个 独 特 的 分 配 和 转 储 其 内 容 允 许 检 索 受 害 者 的 地 址 。 使 用 的 喷 洒 技 术 很 简 单 ： 它 使 用 了 漏 洞   ( B T R F S _ I O C _ S N A P _ C R E A T E )   的 数 倍 相 同 的   i o c t l 。 实 际 上 ， 系 统 调 用 执 行 了   4 0 9 6   字 节 的 分 配 。 通 过 在 f d 字 段 中 设 置 无 效 的 文 件 描 述 符 ， 永 远 不 会 释 放 分 配 ， 这 对 于 修 复 双 重 释 放 非 常 有 用 。 对 喷 射 内 容 的 唯 一 限 制 是 在 第 一 个 字 节 上 ， 因 为 该 字 段 f d 由   s h i f t f s   代 码 修 补 。 安 装   R / W   原 语 后 ， 受 害 者 的 初 始 内 容 的 第 一 个 字 节 将 被 恢 复 。 使 用 使 用   s y s c t l   表 稳 定 原 语 表 稳 定 原 语 s y s c t l   表 中 的 条 目 由 结 构 定 义 ， c t l _ t a b l e 并 被 块 重 用 和 喷 射 技 术 覆 盖 。 内 核 读 / 写 可 以 通 过 将 指 针 数 据 设 置 到 给 定 的 目 的 地 并 使 用 该 函 数 p r o c _ d o u l o n g v e c _ m i n m a x 作 为 p r o c _ h a n d l e r .   当 用 户 空 间 进 程 读 取 和 写 入   / p r o c / s y s / n e t / i p v 4 / c o n f / a l l   中 的 文 件 时 ， 此 函 数 将 在 数 据 指 向 的 内 核 内 存 中 读 取 和 写 入 任 意 数 量 的   6 4   位 值 。 该 漏 洞 利 用 接 管 了 几 个   s y s c t l ： s y s c t l 0   :   / p r o c / s y s / n e t / i p v 4 / c o n f / a l l / f o r w a r d i n g :   用 于 转 储   s y s c t l _ h e a d e r   并 获 取 受 害 者 的 地 址 s y s c t l 1   :   / p r o c / s y s / n e t / i p v 4 / c o n f / a l l / m c _ f o r w a r d i n g :   此   s y s c t l   设 置 为 覆 盖 主 命 名 空 间   ( s y s . d e b u g . e x c e p t i o n - t r a c e )   中 的 全 局   s y s c t l   以 获 得 可 重 用 的   R / W   原 语 。 在 受 害 者 地 址 被 泄 露 并 写 入   s y s c t l 2   的 内 容 后 ， 全 局   s y s c t l   表 被 恢 复 。 s y s c t l 2   :   / p r o c / s y s / n e t / i p v 4 / c o n f / a l l / b c _ f o r w a r d i n g :   目 标   s y s c t l 3   并 允 许 更 改 读 / 写 的 目 的 地 （ 数 据 字 段 ） 。 s y s c t l 3   :   / p r o c / s y s / n e t / i p v 4 / c o n f / a l l / a c c e p t _ r e d i r e c t s :   用 于   R / W   内 核 内 存 ， 此 表 由   s y s c t l 2   修 补 。 s y s c t l 4   :   / p r o c / s y s / n e t / i p v 4 / c o n f / a l l / s e c u r e _ r e d i r e c t s :   用 于 调 用 函 数 ， 该 表 由   R / W   原 语 修 补 。 原 语 稳 定 后 ， 漏 洞 利 用 程 序 可 以 通 过 读 写 / p r o c 中 的 文 件 来 读 写 内 核 内 存 。 内 核 代 码 执 行 和 内 核 代 码 执 行 和 r o o t 权 限 权 限 请 注 意 ， 稳 定 的 内 核 读 / 写 足 以 获 得 用 户 级   r o o t   访 问 权 限 。 但 是 由 于 我 们 已 经 有 了 一 个 调 用 原 语 ， 我 决 定 通 过 内 核 代 码 执 行 来 实 现 。 防 止 从 内 核 执 行 用 户 态 代 码 的 主 要 内 核 保 护 是   S M A P 。 该 保 护 可 防 止 内 核 本 身 访 问 或 执 行 专 用 功 能 （ 如 c o p y _ { f r o m | t o } _ u s e r . b a s h - 1 9 1 2         [ 0 0 2 ]   . . . .     5 5 1 5 . 3 0 6 8 1 1 :   k m a l l o c :   c a l l _ s i t e = _ _ r e g i s t e r _ s y s c t l _ t a b l e + 0 x 5 0 / 0 x 1 e 0   p t r = 0 0 0 0 0 0 0 0 1 a e 3 3 0 c c   b y t e s _ r e q = 3 2 1 6   b y t e s _ a l l o c = 4 0 9 6   g f p _ f l a g s = G F P _ K E R N E L | _ _ G F P _ Z E R O b a s h - 1 9 1 2         [ 0 0 2 ]   . . . .     5 5 1 5 . 3 0 6 9 2 2 :   k m a l l o c :   c a l l _ s i t e = i p v 6 _ i n i t _ m i b s + 0 x b 2 / 0 x 1 1 0   p t r = 0 0 0 0 0 0 0 0 d d 7 d 8 3 c 1   b y t e s _ r e q = 4 0 9 6   b y t e s _ a l l o c = 4 0 9 6   g f p _ f l a g s = G F P _ K E R N E L | _ _ G F P _ Z E R O s t r u c t   c t l _ t a b l e   { c o n s t   c h a r     *                             p r o c n a m e ;                           / *           0       0 x 8   * / v o i d   *                                           d a t a ;                                   / *       0 x 8       0 x 8   * / i n t                                                 m a x l e n ;                               / *     0 x 1 0       0 x 4   * / u m o d e _ t                                         m o d e ;                                   / *     0 x 1 4       0 x 2   * / s t r u c t   c t l _ t a b l e   *                   c h i l d ;                                 / *     0 x 1 8       0 x 8   * /                 p r o c _ h a n d l e r   *                           p r o c _ h a n d l e r ;                   / *     0 x 2 0       0 x 8   * / s t r u c t   c t l _ t a b l e _ p o l l   *         p o l l ;                                   / *     0 x 2 8       0 x 8   * / v o i d   *                                           e x t r a 1 ;                               / *     0 x 3 0       0 x 8   * / v o i d   *                                           e x t r a 2 ;                               / *     0 x 3 8       0 x 8   * / } ;
不 应 同 时 存 在 具 有 写 入 和 执 行 权 限 的 映 射 。 然 而 ， 遗 留 内 核 代 码 调 用 s e t _ m e m o r y _ x 将 受 害 者 页 面 重 新 映 射 为 可 执 行 文 件 的 函 数 。 要 调 用 此 函 数 ， 将   s y s c t l 4   与 修 补 的 p r o c _ h a n d l e r .   当 它 被 调 用 时 ， 第 一 个 参 数 是 c t l _ t a b l e .   将 数 据 写 入   s y s c t l   文 件 （ 在   / p r o c   中 ） 时 ， 第 二 个 参 数 设 置 为   1 。 因 此 ， 在 调 用   时 s e t _ m e m o r y _ x ， 第 二 个 参 数 将 为   1 ， 即 要 重 新 映 射 为 可 执 行 文 件 的 页 数 。 由 于 它 有   4 0 9 6   字 节 长 ， 受 害 者 仅 由 一 页 组 成 ， 但 表 的 地 址 在 页 开 始 时 没 有 对 齐 。 s e t _ m e m o r y _ x 与 未 对 齐 的 地 址 一 起 使 用 时 ， 其 页 面 仍 会 重 新 映 射 ， 但 W A R N _ O N 宏 会 在   d m e s g   中 显 示 警 告 。 使 用 这 种 技 术 ， 受 害 者 内 存 被 设 置 为 可 执 行 。 一 个   s h e l l c o d e   被 写 入 这 个 内 存 中 ， 然 后   s y s c t l 4   被 修 补 以 调 用 这 个 有 效 载 荷 。 s h e l l c o d e   执 行 通 常 的 代 码 来 获 取 当 前 进 程 的   r o o t   凭 据 ： 最 后 ， 漏 洞 利 用 会 产 生 一 个 新 的   s h e l l 。 结 论 结 论 在 搜 索 本 地 权 限 提 升 漏 洞 时 ， 我 发 现 了 很 多 我 不 知 道 的 功 能 ， 并 学 习 了 几 种 利 用 技 术 （ u s e r f a u l t f d 、 s p r a y   技 术 、 块 重 用 等 ） 。 我 很 幸 运 在 我 审 核 的 第 一 批 司 机 中 找 到 了 一 些 东 西 。 d o u b l e   f r e e   漏 洞 非 常 危 险 ， 因 为 它 们 通 常 仅 使 用 一 个   b u g   即 可 被 利 用 。 正 如 所 呈 现 的 错 误 所 见 ， 它 在 提 供 块 重 用 的 同 时 提 供 信 息 泄 漏 。 即 使 没 有 这 个 信 息 泄 露 ， 劫 持 一 个 已 知 的 内 核 对 象 也 可 能 就 足 够 了 。 这 些 s y s c t l 表 是 非 常 有 趣 的 利 用 目 标 。 对 全 局 结 构 （ 如 果   K A L S R   偏 移 被 解 析 ， 则 地 址 是 已 知 的 ） 的 单 次 写 入 允 许 获 得 可 重 用 的   R / W   原 语 。 使 用 这 些 原 语 ， 可 以 通 过 各 种 方 式 获 得 根 权 限 。 如 果 您 不 使 用 非 特 权 容 器 ， 我 建 议 设 置 k e r n e l . u n p r i v i l e g e d _ u s e r n s _ c l o n e 为   0   以 减 少 攻 击 面 。 这 是 我 第 一 次 参 加   P w n 2 O w n 。 我 要 感 谢   Z D I   组 织   P w n 2 O w n   和   U b u n t u   内 核 团 队 的 参 与 和 他 们 修 复 错 误 的 反 应 。 资 源 资 源 U b u n t u   修 复 修 复 ： h t t p s : / / u b u n t u . c o m / s e c u r i t y / C V E - 2 0 2 1 - 3 4 9 2 其 他 关 于 内 核 开 发 的 博 文 ： 其 他 关 于 内 核 开 发 的 博 文 ： C V E - 2 0 1 7 - 1 1 1 7 6 ： ： h t t p s : / / b l o g . l e x f o . f r / c v e - 2 0 1 7 - 1 1 1 7 6 - l i n u x - k e r n e l - e x p l o i t a t i o n - p a r t 1 . h t m l h t t p s : / / b l o g . l e x f o . f r / c v e - 2 0 1 7 - 1 1 1 7 6 - l i n u x - k e r n e l - e x p l o i t a t i o n - p a r t 2 . h t m l h t t p s : / / b l o g . l e x f o . f r / c v e - 2 0 1 7 - 1 1 1 7 6 - l i n u x - k e r n e l - e x p l o i t a t i o n - p a r t 3 . h t m l 关 于   U s e r f a u l t f d ： h t t p s   : / / b l o g . l i z z i e . i o / u s i n g - u s e r f a u l t f d . h t m l 关 于   U s e r f a u l t f d   和   S p r a y s ： h t t p s   : / / d u a s y n t . c o m / b l o g / l i n u x - k e r n e l - h e a p - s p r a y C V E - 2 0 1 7 - 7 3 0 8 ： ： h t t p s : / / g o o g l e p r o j e c t z e r o . b l o g s p o t . c o m / 2 0 1 7 / 0 5 / e x p l o i t i n g - l i n u x - k e r n e l - v i a - p a c k e t . h t m l h t t p s : / / g i t h u b . c o m / x a i r y / k e r n e l - e x p l o i t s / t r e e / m a s t e r / C V E - 2 0 1 7 - 7 3 0 8 阅 读 原 文 c o m m i t _ c r e d ( p r e p a r e _ k e r n e l _ c r e d ( 0 ) ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理