搜索

[11498] 2017-06-26_CVE-2016-10277在MOTOX手机上的漏洞利用实践

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-06-26_CVE-2016-10277在MOTOX手机上的漏洞利用实践 C V E - 2 0 1 6 - 1 0 2 7 7 在 M O T O   X 手 机 上 的 漏 洞 利 用 实 践 原 创   t h o r 1 2 3   F r e e B u f   2 0 1 7 - 0 6 - 2 6 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： t h o r @ M S 5 0 9 T e a m ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 C V E - 2 0 1 6 - 1 0 2 7 7 是 存 在 于 摩 托 罗 拉 系 列 手 机 的 是 存 在 于 摩 托 罗 拉 系 列 手 机 的 b o o t l o a d e r 高 危 漏 洞 ， 可 以 通 过 内 核 命 令 注 入 劫 持 手 机 的 启 动 流 高 危 漏 洞 ， 可 以 通 过 内 核 命 令 注 入 劫 持 手 机 的 启 动 流 程 ， 加 载 攻 击 者 控 制 的 程 ， 加 载 攻 击 者 控 制 的 i n i t r a m f s ， 从 而 达 到 ， 从 而 达 到 r o o t 提 权 的 目 的 。 我 们 手 上 正 好 有 一 个 摩 托 罗 拉 的 提 权 的 目 的 。 我 们 手 上 正 好 有 一 个 摩 托 罗 拉 的 M O T O   X 手 机 ， 手 机 ， 于 是 参 照 于 是 参 照 [ 1 ] 的 漏 洞 利 用 过 程 ， 将 的 漏 洞 利 用 过 程 ， 将 C V E - 2 0 1 6 - 1 0 2 7 7 的 漏 洞 利 用 过 程 实 践 了 一 把 ， 复 现 过 程 还 是 十 分 曲 折 。 的 漏 洞 利 用 过 程 实 践 了 一 把 ， 复 现 过 程 还 是 十 分 曲 折 。 0 x 0 0   系 统 环 境 系 统 环 境 1 . 手 机 ：   M O T O   X ( X T 1 5 8 1 ) 2 . 系 统 固 件 版 本 ： 3 . A n d r o i d 版 本 ： 5 . 1 . 1 在 漏 洞 利 用 过 程 中 需 要 用 到 手 机 b o o t . i m g 中 的 a b o o t 、 i n i t r a m f s ， 手 机 没 有 r o o t 的 话 是 无 法 提 取 系 统 固 件 的 ， 幸 好 我 们 在 网 上 找 到 了 对 应 的 系 统 固 件 ， 可 以 直 接 提 取 使 用 。 0 x 0 1   漏 洞 原 理 漏 洞 原 理 C V E - 2 0 1 6 - 1 0 2 7 7 的 基 本 原 理 并 不 复 杂 ， 主 要 就 是 可 以 通 过 f a s t b o o t 向 b o o t l o a d e r 注 入 内 核 命 令 参 数 。 首 先 我 们 可 以 通 过 f a s t o o t   o e m   c o n f i g   查 看 配 置 参 数 ：
这 些 参 数 都 未 受 保 护 ， 即 使 b o o t l o a d e r 已 锁 ， 仍 然 可 以 通 过 f a s t b o o t   o e m   c o n f i g 命 令 配 置 ： 漏 洞 就 在 于 b o o t l o a d e r 未 对 配 置 的 这 些 参 数 进 行 过 滤 ， 而 这 些 参 数 会 直 接 传 递 给 内 核 的 命 令 行 。 内 核 命 令 行 参 数 的 注 入 会 影 响 b o o t l o a d e r 的 加 载 过 程 ， 攻 击 者 如 果 精 心 构 造 某 些 参 数 ， 将 达 到 控 制 手 机 启 动 ， 甚 至 r o o t 提 权 的 目 的 。 0 x 0 2   漏 洞 验 证 漏 洞 验 证 首 先 我 们 要 先 确 定 M O T O   X 是 否 受 C V E - 2 0 1 6 - 1 0 2 7 7 漏 洞 的 影 响 。 1 )   注 入 参 数 设 置 注 入 参 数 设 置 p r o p e r t y
执 行 命 令 ： 该 命 令 注 入 了 a n d r o i d b o o t . b a r = 1 参 数 ， 该 参 数 如 果 注 入 成 功 ， 将 会 设 置 系 统 的 r o . b o o t . b a r 属 性 为 1 。 当 然 , 这 里 我 们 只 是 虚 构 了 一 个 b a r 属 性 。 2 )   启 动 系 统 查 看 启 动 系 统 查 看 p r o p e r t y 执 行 命 令 ： 可 以 看 到 成 功 设 置 系 统 属 性 ， 说 明 内 核 命 令 行 参 数 注 入 成 功 ， 确 定 M O T O   X 受 C V E - 2 0 1 6 - 1 0 2 7 7 漏 洞 的 影 响 。 0 x 0 3   漏 洞 利 用 漏 洞 利 用 通 过 该 漏 洞 的 命 令 行 注 入 ， 我 们 可 以 向 内 核 命 令 行 注 入 众 多 参 数 ， 而 这 些 参 数 又 会 在 O S 启 动 阶 段 多 个 地 方 被 引 用 ， 因 此 该 漏 洞 的 攻 击 面 是 很 广 的 ， 这 里 我 们 主 要 尝 试 能 否 通 过 该 漏 洞 进 行 r o o t 提 权 。 我 们 首 先 简 单 介 绍 下 手 机 的 启 动 过 程 ， 找 到 其 中 的 利 用 点 。 f a s t b o o t   o e m   c o n f i g   f s g - i d   " a   a n d r o i d b o o t . b a r = 1 "     f a s t o o t   c o n t i n u e     a d b   s h e l l   g e t p r o p   r o . b o o t . b a r
1 )   A n d r o i d 手 机 的 手 机 的 S e c u r e   B o o t 过 程 过 程 M O T O 系 列 的 手 机 大 部 分 使 用 高 通 芯 片 ， 而 高 通 芯 片 的 手 机 大 致 启 动 过 程 如 下 ： 手 机 开 机 后 ， 首 先 启 动 的 是 b o o t l o a d e r ， 而 b o o t l o a d e r 又 大 致 分 为 3 个 阶 段 ， 最 先 启 动 的 是 P B L ， 然 后 是 S B L 、 A B O O T ， 最 后 通 过 A B O O T 从 b o o t . i m g 或 r e c o v e r y . i m g 中 加 载 l i n u x   k e r n e l 和 i n i t r a m f s ， 进 入 系 统 加 载 阶 段 。 i n i t r a m f s 是 一 个 内 存 文 件 系 统 ， b o o t l o a d e r 一 般 会 从 固 定 的 内 存 地 址 中 加 载 ， 系 统 启 动 后 会 挂 载 到 r o o t f s ， 即 根 目 录 / 。 i n i t r a m f s 包 含 很 多 重 要 文 件 ， 包 括 系 统 启 动 后 第 一 个 用 户 态 进 程 i n i t 、 服 务 启 动 脚 本 i n i t . r c 、 s e l i n u x 策 略 文 件 s e p o l i c y 、 a d b d 程 序 等 。 如 果 我 们 能 够 让 系 统 启 动 时 加 载 我 们 构 造 的 i n i t r a m f s ， 那 么 我 们 就 可 以 在 这 里 面 做 很 多 劫 持 动 作 。 而 C V E - 2 0 1 6 - 1 0 2 7 7 的 一 个 攻 击 面 就 是 通 过 注 入 内 核 命 令 参 数 控 制 手 机 启 动 时 的 i n i t r a m f s 加 载 地 址 ， 加 载 我 们 指 定 的 i n i t r a m f s 。 2 )   通 过 参 数 注 入 劫 持 通 过 参 数 注 入 劫 持 i n i t r a m f s 加 载 加 载 通 过 C V E - 2 0 1 6 - 1 0 2 7 7 漏 洞 我 们 可 以 向 内 核 注 入 i n i t r d 参 数 ， 该 参 数 控 制 了 i n i t r a m f s 的 内 存 加 载 地 址 ， 参 数 形 式 如 下 ： 首 先 我 们 测 试 是 否 可 以 劫 持 i n i t r a m f s 的 加 载 地 址 ， 命 令 如 下 ： [ P r i m a r y   B o o t l o a d e r   ( P B L ) ]   ` - .       [ S e c o n d a r y   B o o t l o a d e r   ( S B L ) ]     ` - .         [ A p p l i c a t i o n s   B o o t l o a d e r   ( A B O O T ) ]         ` - .                         [ { b o o t , r e c o v e r y } . i m g ]             | - -   L i n u x   K e r n e l             ` - -   i n i t r a m f s                     ` - .                         [ s y s t e m . i m g ] i n i t r d = < i n i t r a m f s _ a d d r e s s > , < i n i t r a m f s _ s i z e > f a s t b o o t   o e m   c o n f i g   f s g - i d   " a   i n i t r d = 0 x 1 2 3 4 1 2 3 4 , 1 0 2 4 " f a s t b o o t   c o n t i n u e
执 行 命 令 后 我 们 发 现 手 机 进 入 无 限 循 环 启 动 ， 无 法 进 入 系 统 ， 手 机 已 崩 溃 ， 说 明 i n i t r d 参 数 起 到 了 作 用 。 为 了 验 证 能 否 顺 利 劫 持 i n i t r a m f s 加 载 ， 我 们 还 需 要 找 到 可 用 的 i n i t r a m f s ， 并 且 找 到 向 内 存 注 入 可 控 i n i t r a m f s 的 方 法 。 由 于 不 同 的 手 机 系 统 固 件 不 一 样 ， i n i t r a m f s 也 不 通 用 ， 我 们 只 有 通 过 网 上 下 载 的 对 应 系 统 固 件 来 提 取 i n i t r a m f s 。 下 载 固 件 后 解 压 缩 找 到 b o o t . i m g ， 使 用 i m g t o o l 工 具 提 取 内 核 文 件 ： 这 里 的 r a m d i s k 即 是 我 们 要 找 得 i n i t r a m f s 。 接 下 来 我 们 想 办 法 向 内 存 中 注 入 我 们 的 r a m d i s k ， 可 通 过 如 下 命 令 ： 我 们 向 b o o t l o a d e r   f l a s h 一 个 不 存 在 i m a g e ， 虽 然 不 能 刷 入 ， 但 是 r a m d i s k 肯 定 已 经 存 在 于 手 机 内 存 中 某 个 位 置 ， 接 下 来 我 们 需 要 的 就 是 找 到 这 个 位 置 。 A B O O T 二 进 制 文 件 中 有 一 个 t a r g e t _ g e t _ s c r a t c h _ a d d r e s s 函 数 ， 该 函 数 返 回 的 地 址 就 是 d o w n l o a d e d   i m a g e 存 在 的 地 址 ， 所 以 我 们 通 过 I D A 查 看 A B O O T 文 件 就 能 够 找 到 该 地 址 。     f a s t b o o t   f l a s h   t h o r   r a m d i s k
A B O O T 文 件 存 在 于 b o o t l o a d e r 中 ， 提 取 固 件 中 的 b o o t l o a d e r . i m g ， 使 用 i m g t o o l 提 取 却 出 错 了 ： 用 0 1 0 e d i t o r 查 看 ， 看 到 了 a b o o t 的 存 在 ， 但 是 b o o t l o a d e r . i m g 应 该 是 做 了 定 制 ， 不 是 普 通 的 i m a g e 文 件 。 使 用 谷 歌 大 法 ， 找 到 了 一 个 专 门 用 于 提 取 m o t o   i m a g e 文 件 的 p y t h o n 脚 本 h t t p s : / / g i t h u b . c o m / l a g i n i m a i n e b / u n p a c k _ m o t o b o o t ：
成 功 提 取 a b o o t 文 件 后 ， 放 入 I D A 查 看 ， 由 于 没 有 删 掉 符 号 信 息 ， 可 以 快 速 定 位 到 t a r g e t _ g e t _ s c r a t c h _ a d d r e s s 函 数 : 我 们 从 而 得 到 f l a s h   i m a g e 时 i m a g e 在 内 存 中 的 地 址 为 ： 0 x 1 1 0 0 0 0 0 0 。 综 上 ， 我 们 终 于 可 以 尝 试 劫 持 i n i t r a m f s 的 加 载 ：
不 幸 的 是 ， 手 机 依 然 无 限 循 环 重 启 。 问 题 出 在 什 么 地 方 的 ？ 由 于 我 们 看 不 到 任 何 启 动 时 打 印 的 信 息 ， 也 不 知 从 何 入 手 。 漏 洞 的 发 现 者 做 出 了 一 个 猜 测 ， 有 可 能 是 f l a s h   i m a g e 后 ， 手 机 的 启 动 过 程 中 污 染 了 我 们 发 送 的 i n i t r a m f s ， 导 致 i n i t r a m f s 被 破 坏 。 因 此 ， 我 们 需 要 将 控 制 的 i n i t r a m f s 填 充 ， 将 真 正 的 i n i t r a m f s 放 到 高 地 址 的 内 存 中 ： 我 们 选 择 p a d d i n g 的 数 据 长 度 为 3 2 M B ， . - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - . - - - - - - - - - - - - - - - - - - - - - - . |   P h y s i c a l   A d d r e s s                               |   D a t a                                   | | - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - | - - - - - - - - - - - - - - - - - - - - - - | |   S C R A T C H _ A D D R                                       |   C o r r u p t e d   P A D D I N G         |   |   S C R A T C H _ A D D R   +   s i z e o f ( P A D D I N G )   |   C o n t r o l l e d   i n i t r a m f s   | ` - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ' - - - - - - - - - - - - - - - - - - - - - - '
这 次 终 于 成 功 启 动 了 系 统 ， 说 明 我 们 成 功 劫 持 了 i n i t r a m f s : 3 )   构 造 构 造 i n i t r a m f s 获 取 获 取 r o o t 权 限 权 限 成 功 劫 持 了 i n i t r a m f s 后 ， 我 们 需 要 想 办 法 替 换 或 修 改 i n i t r a m f s 中 的 文 件 来 进 行 r o o t 提 权 。 我 们 首 先 解 压 缩 i n i t r a m f s , 它 是 一 个 c p i o 打 包 、 g z i p 压 缩 的 文 件 ：
我 们 在 s b i n 目 录 下 看 到 了 a d b d 二 进 制 文 件 ， 它 是 我 们 我 们 执 行 a d b   s h e l l 时 的 服 务 程 序 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理