搜索

[10252] 2016-06-30_Linux内核中的递归漏洞利用

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2016-06-30_Linux内核中的递归漏洞利用 L i n u x 内 核 中 的 递 归 漏 洞 利 用 M i c h a e l 2 3   F r e e B u f   2 0 1 6 - 0 6 - 3 0 6 月 月 1 号 ， 我 提 交 了 一 个 号 ， 我 提 交 了 一 个 l i n u x 内 核 中 的 任 意 递 归 漏 洞 。 如 果 安 装 内 核 中 的 任 意 递 归 漏 洞 。 如 果 安 装 U b u n t u 系 统 时 选 择 了 系 统 时 选 择 了 h o m e 目 录 加 密 的 话 ， 该 漏 洞 即 可 由 本 地 目 录 加 密 的 话 ， 该 漏 洞 即 可 由 本 地 用 户 触 发 。 如 果 想 了 解 漏 洞 利 用 代 码 和 短 一 点 的 漏 洞 报 告 的 话 ， 请 访 问 用 户 触 发 。 如 果 想 了 解 漏 洞 利 用 代 码 和 短 一 点 的 漏 洞 报 告 的 话 ， 请 访 问 h t t p s : / / b u g s . c h r o m i u m . o r g / p / p r o j e c t - z e r o / i s s u e s / d e t a i l ? i d = 8 3 6 。 。 背 景 知 识 背 景 知 识 在 L i n u x 系 统 中 ， 用 户 态 的 栈 空 间 通 常 大 约 是 8 M B 。 如 果 有 程 序 发 生 了 栈 溢 出 的 话 （ 比 如 无 限 递 归 ） ， 栈 所 在 的 内 存 保 护 页 一 般 会 捕 捉 到 。 L i n u x 内 核 栈 （ 可 以 用 来 处 理 系 统 调 用 ） 和 用 户 态 的 栈 很 不 一 样 。 内 核 栈 相 对 来 说 更 短 ： 3 2 位 x 8 6 架 构 平 台 为 4 0 9 6 b y t e   ，   6 4 位 系 统 则 有 1 6 3 8 4 b y t e （ 内 核 栈 大 小 由 T H R E A D _ S I Z E _ O R D E R   和   T H R E A D _ S I Z E   确 定 ） 。 它 们 是 由 内 核 的 伙 伴 内 存 分 配 器 分 配 ， 伙 伴 内 存 分 配 器 是 内 核 常 用 来 分 配 页 大 小 （ 以 及 页 大 小 倍 数 ） 内 存 的 分 配 器 ， 它 不 创 建 内 存 保 护 页 。 也 就 是 说 ， 如 果 内 核 栈 溢 出 的 话 ， 它 将 直 接 覆 盖 正 常 的 数 据 。 正 因 如 此 ， 内 核 代 码 必 须 （ 通 常 也 是 ） 在 栈 上 分 配 大 内 存 的 时 候 非 常 小 心 ， 并 且 必 须 阻 止 过 多 的 递 归 。 L i n u x 上 的 大 多 数 文 件 系 统 既 不 用 底 层 设 备 （ 伪 文 件 系 统 ， 比 如 s y s f s ,   p r o c f s ,   t m p f s 等 ） ， 也 不 用 块 设 备 （ 一 般 是 硬 盘 上 的 一 块 ） 作 为 备 用 存 储 设 备 。 然 而 ，   e c r y p t f s   和 o v e r l a y f s 是 例 外 。 这 两 者 是 堆 叠 的 文 件 系 统 ， 这 种 文 件 系 统 会 使 用 其 他 文 件 系 统 上 的 文 件 夹 作 为 备 用 存 储 设 备 这 两 者 是 堆 叠 的 文 件 系 统 ， 这 种 文 件 系 统 会 使 用 其 他 文 件 系 统 上 的 文 件 夹 作 为 备 用 存 储 设 备 （ o v e r l a y f s 则 使 用 多 个 不 同 文 件 系 统 上 的 多 个 文 件 作 为 备 用 存 储 设 备 ） 。 被 用 作 备 用 存 储 设 备 的 文 件 系 统 称 为 底 层 文 件 系 统 ， 其 上 的 文 件 称 为 底 层 文 件 。 被 用 作 备 用 存 储 设 备 的 文 件 系 统 称 为 底 层 文 件 系 统 ， 其 上 的 文 件 称 为 底 层 文 件 。 这 种 层 叠 文 件 系 统 的 特 点 是 它 或 多 或 少 的 会 访 问 底 层 文 件 系 统 ， 并 对 访 问 的 数 据 做 一 些 修 改 。         O v e r l a y f s 融 合 多 个 文 件 系 统 ， e c r y p t f s 则 进 行 了 相 应 的 加 密 。 层 叠 文 件 系 统 实 际 上 存 在 潜 在 风 险 ， 因 为 其 访 问 虚 拟 文 件 系 统 的 函 数 常 会 访 问 到 底 层 文 件 系 统 的 函 数 ， 相 较 直 接 访 问 底 层 文 件 系 统 的 句 柄 ， 这 会 增 大 栈 空 间 。 考 虑 这 样 一 个 场 景 ： 如 果 用 层 叠 文 件 系 统 作 为 另 外 一 个 层 叠 系 统 的 备 用 存 储 设 备 ， 由 于 每 一 层 文 件 系 统 的 堆 叠 都 增 大 了 栈 空 间 ， 内 核 栈 就 会 在 某 些 情 况 下 溢 出 。 但 是 ， 设 置 F I L E S Y S T E M _ M A X _ S T A C K _ D E P T H   限 制 文 件 系 统 的 层 数 ， 只 允 许 最 多 两 层 层 叠 文 件 系 统 放 在 非 层 叠 文 件 系 统 上 ， 就 可 以 避 免 这 个 问 题 。 在 P r o c f s 伪 文 件 系 统 上 ， 系 统 中 运 行 的 每 一 个 进 程 都 有 一 个 文 件 夹 ， 每 个 文 件 夹 包 含 一 些 描 述 该 进 程 的 文 件 。 值 得 注 意 的 是 每 个 进 程 的 “ m e m ” ， “   e n v i r o n ” 和 “ c m d l i n e ” 文 件 ， 因 为 访 问 这 些 文 件 会 同 步 访 问 目 标 进 程 的 虚 拟 内 存 。 这 些 文 件 显 示 了 不 同 的 虚 拟 内 存 地 址 范 围 ： 1 . “ m e m ” 文 件 显 示 了 整 个 虚 拟 内 存 地 址 范 围 （ 需 要 P T R A C E _ M O D E _ A T T A C H   权 限 ） 2 . “ e n v i r o n ” 文 件 显 示 了 m m - > e n v _ s t a r t   到 m m - > e n v _ e n d 的 内 存 范 围 （ 需 要 P T R A C E _ M O D E _ R E A D 权 限 ） 3 . “ c m d l i n e ” 文 件 显 示 了 m m - > a r g _ s t a r t   到 m m - > a r g _ e n d 的 地 址 范 围 （ 如 果 m m - > a r g _ e n d 的 前 一 个 字 符 是 n u l l   的 话 ） 如 果 可 以 用 m m a p （ ） 函 数 映 射 “ m e m ” 文 件 的 话 （ 啥 意 义 也 没 有 ， 别 想 太 多 ） ， 就 可 以 映 射 成 如 下 图 所 示 的 样 子 ：
接 下 来 ， 假 设 / p r o c / $ p i d / m e m 的 映 射 有 一 些 错 误 ， 那 么 在 进 程 C 里 的 内 存 读 取 错 误 ， 将 会 导 致 从 进 程 B 中 映 射 的 内 存 出 错 ， 进 而 导 致 进 程 B 里 出 现 其 它 的 内 存 错 误 ， 进 而 导 致 从 A 进 程 映 射 的 内 存 出 错 ， 这 就 是 一 个 递 归 内 存 错 误 。 可 是 ， 现 实 中 这 是 不 可 行 的 ， “ m e m ” ， “ e n v i r o n ” ， “ c m d l i n e   ” 文 件 只 能 用 V F S 函 数 读 写 ， m m a p 无 法 使 用 ： s t a t i c c o n s t   s t r u c t   f i l e _ o p e r a t i o n s   p r o c _ p i d _ c m d l i n e _ o p s   =   {   . r e a d       =   p r o c _ p i d _ c m d l i n e _ r e a d ,   . l l s e e k   =   g e n e r i c _ f i l e _ l l s e e k , } ; [ . . . ] s t a t i c c o n s t   s t r u c t   f i l e _ o p e r a t i o n s   p r o c _ m e m _ o p e r a t i o n s   =   {   . l l s e e k     =   m e m _ l s e e k ,   . r e a d         =   m e m _ r e a d ,   . w r i t e       =   m e m _ w r i t e ,   . o p e n         =   m e m _ o p e n ,   . r e l e a s e   =   m e m _ r e l e a s e , } ; [ . . . ] s t a t i c c o n s t   s t r u c t   f i l e _ o p e r a t i o n s   p r o c _ e n v i r o n _ o p e r a t i o n s   =   {   . o p e n         =   e n v i r o n _ o p e n ,   . r e a d         =   e n v i r o n _ r e a d ,   . l l s e e k     =   g e n e r i c _ f i l e _ l l s e e k ,   . r e l e a s e   =   m e m _ r e l e a s e , } ; 相 关 e c r y p t f s 文 件 系 统 ， 比 较 有 趣 的 一 个 细 节 在 于 它 支 持 m m a p ( ) 。 用 户 看 到 的 内 存 映 射 必 须 是 解 密 的 ， 而 底 层 文 件 系 统 的 内 存 映 射 是 加 密 的 ， 因 而 e c r y p t f s   文 件 系 统 不 能 将 m m a p ( ) 函 数 直 接 映 射 到 底 层 文 件 系 统 的 m m a p ( ) 函 数 上 。 E c r y p t   文 件 系 统 在 内 存 映 射 时 使 用 了 自 己 的 页 缓 存 。 e c r y p t f s 文 件 系 统 处 理 页 错 误 的 时 候 ， 必 须 以 某 种 方 式 读 取 底 层 文 件 系 统 上 加 密 的 页 。 这 可 以 通 过 读 取 底 层 文 件 文 件 系 统 的 页 缓 存 （ 使 用 底 层 文 件 系 统 的 m m a p 函 数 ） 来 实 现 ， 但 是 这 样 比 较 消 耗 内 存 。 于 是 它 直 接 使 用 底 层 文 件 系 统 的   V F S 读 取 函 数 （ 通 过 k e r n e l _ r e a d ( ) ） ， 这 样 做 更 加 直 接 有 效 ， 但 是 这 个 做 法 有 副 作 用 ， 就 是 有 可 能 会 m m a p ( )   到 通 常 不 能 映 射 的 解 密 后 的 文 件 （ 因 为 只 要 底 层 文 件 有 读 权 限 并 且 包 含 合 法 的 加 密 数 据 ，   e c r y p t f s 文 件 系 统 的 m m a p 函 数 就 能 工 作 ） 。 漏 洞 分 析 漏 洞 分 析 在 此 ， 我 们 就 能 描 绘 完 整 的 攻 击 方 式 了 。 首 先 创 建 一 个 进 程 A ， 进 程 号 为 $ A 。 然 后 创 建 一 个 e c r y p p t f s   挂 载 / t m p / $ A ， 使 / p r o c / $ A 作 为 它 的 底 层 文 件 系 统 （ e c r y p t f s   应 该 只 有 一 个   k e y ， 这 样 文 件 名 才 不 会 被 加 密 ） 。 现 在 ， 如 果 / p r o c / $ A 下 相 应 的 文 件 有 合 法 的 e c r y p t f s   文 件 头 的 话 ， 那 么   / t m p / $ A / m e m ,   / t m p / $ A / e n v i r o n   和   / t m p / $ A / c m d l i n e 就 可 以 被 映 射 。 除 非 有   r o o t   权 限 ， 否 则 无 法 将 内 存 映 射 到 进 程   A 的 0 × 0 处 ， 也 就 是   / p r o c / $ A / m e m 的 开 头 。 因 此 从 开 始 读 取   / p r o c / $ / A   总 是 会 返 回 - E I O ， 而 且   / p r o c / $ A / m e m   不 会 有 一 个 合 法 的   e c r y p t f s   文 件 头 。 如 此 ， e n v i r o n   和   c m d l i n e   文 件 才
有 攻 击 的 可 能 性 。 在 使 用 C O N F I G _ C H E C K P O I N T _ R E S T O R E 编 译 的 内 核 （ 至 少 是 U b u n t u 的   d i s t r o   内 核 ） 中 ， 非 特 权 用 户 可 以 通 过 p r c t l ( P R _ S E T _ M M ,   P R _ S E T _ M M _ M A P ,   & m m _ m a p , s i z e o f ( m m _ m a p ) ,   0 ) 设 置 m m _ s t r u c t   中 的   a r g _ s t a r t ,   a r g _ e n d ,   e n v _ s t a r t   和   e n v _ e n d 值 。 这 使 得 映 射   / p r o c / $ A / e n v i r o n   和   / p r o c / $ A / c m d l i n e 到 任 意 虚 拟 内 存 范 围 成 为 可 能 。 （ 不 支 持 c h e c k p o i n t - r e s t o r e 的 内 核 中 ， 攻 击 过 程 就 稍 微 有 点 麻 烦 ， 但 使 用 所 需 的 参 数 区 域 和 环 境 变 量 的 长 度 重 新 执 行 ， 然 后 取 代 部 分 栈 空 间 的 映 射 ， 还 是 有 可 能 的 。 ） 如 果 一 个 有 效 加 密 的 e c r y p t f s 文 件 被 加 载 到 进 程 A 的 内 存 中 ， 并 且 它 的 环 境 变 量 也 被 配 置 为 指 向 这 块 区 域 ， 那 么 环 境 变 量 区 域 里 的 解 密 形 式 的 数 据 就 可 以 在   / t m p / $ A / e n v i r o n 文 件 中 获 取 。 这 个 文 件 也 可 以 被 映 射 到 进 程 B 的 内 存 中 。 为 了 能 够 重 复 该 进 程 ， 某 些 数 据 需 要 反 复 加 密 ， 进 而 创 建 一 个 加 密 的 m a t r o s k a   文 件 ， 并 将 这 个 文 件 加 载 到 进 程   A 的 内 存 中 。 这 样 一 来 ， 映 射 互 相 进 程 解 密 环 境 变 量 区 域 的 进 程 链 就 建 立 起 来 了 ： 如 果 映 射 到 进 程 C 和 进 程 B 的 内 存 相 应 范 围 内 没 有 数 据 ， 进 程 C   中 的 内 存 错 误 （ 这 个 内 存 错 误 可 能 是 用 户 空 间 产 生 也 可 能 是 由 于 用 户 空 间 访 问 内 核 空 间 ， 比 如 通 过 c o p y _ f r o m _ u s e r ( ) 函 数 ） 将 会 导 致 e c r y p t f s 读 取   / p r o c / $ B / e n v i r o n   ， 进 而 导 致 进 程 B 中 的 内 存 错 误 。 接 下 来 导 致 e c r y p t f s 读 取   / p r o c / $ A / e n v i r o n   ， 最 后 导 致 进 程 A 中 的 进 程 错 误 。 如 此 循 环 往 复 ， 最 终 溢 出 内 核 栈 ， 使 内 核 崩 溃 。 内 核 栈 如 下 ： [ . . . ] [ < f f f f f f f f 8 1 1 b f b 5 b > ] h a n d l e _ m m _ f a u l t + 0 x f 8 b / 0 x 1 8 2 0 [ < f f f f f f f f 8 1 1 b a c 0 5 > ] _ _ g e t _ u s e r _ p a g e s + 0 x 1 3 5 / 0 x 6 2 0 [ < f f f f f f f f 8 1 1 b b 4 f 2 > ] g e t _ u s e r _ p a g e s + 0 x 5 2 / 0 x 6 0 [ < f f f f f f f f 8 1 1 b b a 0 6 > ] _ _ a c c e s s _ r e m o t e _ v m + 0 x e 6 / 0 x 2 d 0 [ < f f f f f f f f 8 1 1 e 0 8 4 c > ] ?   a l l o c _ p a g e s _ c u r r e n t + 0 x 8 c / 0 x 1 1 0 [ < f f f f f f f f 8 1 1 c 1 e b f > ] a c c e s s _ r e m o t e _ v m + 0 x 1 f / 0 x 3 0 [ < f f f f f f f f 8 1 2 7 a 8 9 2 > ] e n v i r o n _ r e a d + 0 x 1 2 2 / 0 x 1 a 0 [ < f f f f f f f f 8 1 3 3 c a 8 0 > ] ?   s e c u r i t y _ f i l e _ p e r m i s s i o n + 0 x a 0 / 0 x c 0 [ < f f f f f f f f 8 1 2 0 c 1 a 8 > ] _ _ v f s _ r e a d + 0 x 1 8 / 0 x 4 0 [ < f f f f f f f f 8 1 2 0 c 7 7 6 > ] v f s _ r e a d + 0 x 8 6 / 0 x 1 3 0 [ < f f f f f f f f 8 1 2 1 2 6 b 0 > ] k e r n e l _ r e a d + 0 x 5 0 / 0 x 8 0 [ < f f f f f f f f 8 1 3 0 4 d 5 3 > ] e c r y p t f s _ r e a d _ l o w e r + 0 x 2 3 / 0 x 3 0 [ < f f f f f f f f 8 1 3 0 5 d f 2 > ] e c r y p t f s _ d e c r y p t _ p a g e + 0 x 8 2 / 0 x 1 3 0 [ < f f f f f f f f 8 1 3 0 4 0 f d > ] e c r y p t f s _ r e a d p a g e + 0 x c d / 0 x 1 1 0 [ < f f f f f f f f 8 1 1 8 f 9 9 b > ] f i l e m a p _ f a u l t + 0 x 2 3 b / 0 x 3 f 0 [ < f f f f f f f f 8 1 1 b c 1 2 0 > ] _ _ d o _ f a u l t + 0 x 5 0 / 0 x e 0 [ < f f f f f f f f 8 1 1 b f b 5 b > ] h a n d l e _ m m _ f a u l t + 0 x f 8 b / 0 x 1 8 2 0
[ < f f f f f f f f 8 1 1 b a c 0 5 > ] _ _ g e t _ u s e r _ p a g e s + 0 x 1 3 5 / 0 x 6 2 0 [ < f f f f f f f f 8 1 1 b b 4 f 2 > ] g e t _ u s e r _ p a g e s + 0 x 5 2 / 0 x 6 0 [ < f f f f f f f f 8 1 1 b b a 0 6 > ] _ _ a c c e s s _ r e m o t e _ v m + 0 x e 6 / 0 x 2 d 0 [ < f f f f f f f f 8 1 1 e 0 8 4 c > ] ?   a l l o c _ p a g e s _ c u r r e n t + 0 x 8 c / 0 x 1 1 0 [ < f f f f f f f f 8 1 1 c 1 e b f > ] a c c e s s _ r e m o t e _ v m + 0 x 1 f / 0 x 3 0 [ < f f f f f f f f 8 1 2 7 a 8 9 2 > ] e n v i r o n _ r e a d + 0 x 1 2 2 / 0 x 1 a 0 [ . . . ] 关 于 这 个 漏 洞 的 可 利 用 性 ： 利 用 该 漏 洞 ， 需 要 能 够 挂 载 / p r o c / $ p i d 为 e c r y p t f s 文 件 系 统 。 安 装 完 e c r y p t f s - u t i l s 包 之 后 （ 如 果 安 装 U b u n t u 时 选 择 了 h o m e 目 录 加 密 ，   U b u n t u   会 自 动 安 装 ） ， 使 用   / s b i n / m o u n t . e c r y p t f s _ 私 有 的 s e t u i d 辅 助 函 数 就 可 以 做 到 这 一 点 。 漏 洞 利 用 漏 洞 利 用 接 下 来 的 描 述 是 平 台 相 关 的 ， 这 里 指 a m d 6 4 。 以 前 要 利 用 这 一 类 漏 洞 还 是 相 当 简 单 的 ， 可 以 直 接 覆 盖 栈 底 的 t h r e a d _ i n f o 结 构 体 ， 用 合 适 的 数 值 重 写 r e s t a r t _ b l o c k 或 者   a d d r _ l i m i t ， 然 后 根 据 所 用 方 式 ， 选 择 执 行 用 户 空 间 映 射 的 代 码 ， 还 是 用 c o p y _ f r o m _ u s e r ( )   和   c o p y _ t o _ u s e r ( )   直 接 读 写 内 核 数 据 。 但 是 ， r e s t a r t _ b l o c k 已 经 从 t h r e a d _ i n f o 结 构 体 中 移 除 ， 并 且 由 于 栈 溢 出 触 发 时 栈 中 有   k e r n e l _ r e a d ( )   的 栈 帧 ， 所 以 a d d r _ l i m i t 已 经 是 K E R N E L _ D S ， 而 且 函 数 退 出 时 将 会 重 置 成   U S E R _ D S   。 另 外 ，   U b u n t u   1 6 . 0 4 以 后 的 内 核 都 打 开 了 C O N F I G _ S C H E D _ S T A C H K _ E N D _ C H E C K   内 核 配 置 选 项 。 打 开 这 个 选 项 以 后 ， 每 次 调 度 到 这 个 线 程 时 ，   t h r e a d _ i n f o   结 构 体 上 方 的 金 丝 雀 值 都 会 被 检 查 ； 如 果 金 丝 雀 值 不 正 确 的 话 ， 内 核 递 归 就 会 出 错 然 后 崩 溃 。 由 于 t h r e a d _ i n f o 结 构 体 中 很 难 照 到 有 价 值 的 攻 击 目 标 （ 同 时 移 除 t h r e a d _ i n f o 中 的 数 据 并 非 有 效 的 缓 解 措 施 ） ， 我 就 选 择 了 其 它 方 式 ： 溢 出 栈 到 栈 之 前 的 空 间 ， 然 后 利 用 栈 和 其 它 内 存 空 间 之 间 会 重 合 这 一 点 。 这 种 方 式 的 问 题 就 是 一 定 要 保 证 金 丝 雀 值 和   t h r e a d _ i n f o 结 构 中 的 其 它 成 员 不 被 覆 盖 。 栈 溢 出 的 内 存 布 局 如 下 所 示 （ 绿 色 表 示 可 以 覆 盖 ， 红 色 表 示 不 能 覆 盖 ， 黄 色 表 示 覆 盖 后 可 能 会 有 问 题 ） ： 幸 运 的 是 ， 有 些 栈 帧 中 存 在 空 洞 （ 如 果 递 归 的 最 底 部 采 用 c m d l i n e 而 不 是 e n v i r o n ） ， 递 归 的 过 程 中 就 会 有 一 个 5 个 Q W O R D 空 洞 没 有
被 访 问 到 。 这 些 空 洞 足 够 用 来 存 放 从 S R A C K _ E N D _ M A I C 到 f l a g s 的 所 有 数 据 。 这 一 点 可 以 通 过 一 个 安 全 递 归 和 一 个 内 核 调 试 模 块 来 实 现 ， 这 个 内 核 调 试 模 块 将 栈 中 的 所 有 空 洞 标 绿 便 于 观 察 ： 接 下 来 的 问 题 是 空 洞 只 会 出 现 在 特 定 的 位 置 ， 而 漏 洞 利 用 就 需 要 空 洞 在 准 确 的 位 置 出 现 。 下 面 有 一 些 技 巧 可 以 用 来 对 齐 栈 空 间 ： 1 . 在 每 个 递 归 层 上 都 可 以 选 择 “ e n v i r o n ” 文 件 或 者 “ c m d l i n e ” 文 件 ， 它 们 的 栈 帧 大 小 和 空 洞 模 式 都 不 一 样 。 2 . 任 何 调 用 c o p y _ f r o m _ u s e r ( ) 都 会 导 致 内 存 错 误 。 甚 至 可 以 将 写 入 系 统 调 用 和 V F S 写 入 句 柄 结 合 起 来 ， 所 以 每 一 个 写 入 系 统 调 用 和   V F S 写 入 句 柄 都 会 影 响 深 度 （ 合 并 深 度 可 以 计 算 出 来 ， 而 不 用 测 试 每 个 变 量 ） 。 在 测 试 了 各 种 组 合 之 后 ， 我 找 到 一 组 e n v i r o n 文 件 和 c m d l i n e 文 件 ，   还 有 w r i t e   （ ） 系 统 调 用 和 进 程 的 V F S 写 句 柄 的 组 合 。 随 后 ， 就 可 以 递 归 到 之 前 分 配 的 空 间 ， 而 不 会 覆 盖 任 何 危 险 数 据 了 。 然 后 暂 停 内 核 线 程 的 执 行 ， 此 时 栈 指 针 指 向 之 前 分 配 的 内 存 空 间 ， 这 些 内 存 空 间 应 该 用 新 的 栈 来 覆 盖 ， 然 后 继 续 内 核 线 程 的 执 行 。 为 了 暂 停 递 归 中 内 核 线 程 的 执 行 ， 在 建 立 起 映 射 链 后 ， 映 射 链 最 后 的 a n n o n y m o u s 映 射 可 以 用 F U S E 映 射 取 代 （   u s e r f a u l t f d   函 数 并 不 适 用 ， 它 不 能 捕 捉 远 程 的 内 存 访 问 ） 。 对 于 先 前 分 配 的 内 存 ， 我 的 e x p 使 用 管 道 （ P i p e s ） 。 当 写 入 数 据 到 新 分 配 的 空 管 道 时 ， 伙 伴 内 存 分 配 器 会 分 配 一 个 内 存 页 ， 来 存 放 这 些 数 据 。 我 的 e x p 通 过 管 道 内 存 页 分 配 来 填 充 大 量 内 存 ， 所 以 使 用 c l o n e ( ) 创 建 新 进 程 时 就 会 触 发 内 存 错 误 。 这 里 使 用 c l o n e ( )   而 非 f o r k ( ) ， 因 为 调 用 c l o n e ( ) 时 只 要 控 制 好 参 数 ， 系 统 就 会 复 制 较 少 的 信 息 ， 可 以 减 少 内 存 分 配 的 干 扰 。   C l o n e (   )   函 数 调 用 过 程 中 ， 所 有 的 管 道 内 存 页 都 被 填 充 满 ， 除 了 第 一 次 保 存 的   R I P 值 — — 递 归 进 程 暂 停 在 F U S E 中 时 ， 它 保 存 在 期 望 的   R S P   值 之 后 。
写 入 较 少 的 数 据 就 能 致 使 第 二 个 管 道 写 入 目 标 栈 数 据 ， 这 些 数 据 在   R I P 控 制 实 现 之 前 就 被 使 用 ， 可 能 会 导 致 内 核 崩 溃 。 随 后 ， 递 归 进 程 在 F U S E   中 暂 停 时 ， 第 二 次 向 所 有 管 道 写 入 数 据 ， 会 覆 盖 保 存 的   R I P 值 和 其 后 的 数 据 ， 攻 击 者 也 就 能 够 完 全 控 制 全 新 的 栈 了 。 此 时 ， 最 后 一 道 防 线 就 是 K A S L R 了 。 U b u n t u 支 持 K A S L R   ， 只 不 过 K A S L R 需 要 手 动 开 启 。 这 个 b 最 近 该 B U G 已 经 修 复 了 ， 现 在 d i s t r o s 内 核 应 该 是 默 认 就 开 启 K A S L R 的 。 虽 说 这 项 安 全 特 性 帮 不 上 太 大 的 忙 ， 但 毕 竟 K A S L R 不 需 要 占 用 太 多 资 源 ， 开 启 这 项 特 性 就 显 得 相 当 理 所 当 然 了 。 由 于 大 多 数 的 设 备 并 不 支 持 向 内 核 命 令 行 传 输 特 殊 参 数 ， 所 以 这 里 假 设 K A S L R 虽 然 编 译 进 了 内 核 ， 但 仍 处 于 未 激 活 状 态 ， 攻 击 者 也 知 道 内 核 代 码 和 静 态 数 据 的 地 址 。 然 后 就 可 以 用 R O P 在 内 核 里 做 各 种 事 情 了 ， 漏 洞 利 用 具 体 有 两 个 方 向 可 以 继 续 。 可 以 使 用 R O P 进 行   c o m m i t _ c r e d s   类 似 操 作 。 不 过 我 用 了 另 一 个 方 法 。 在 栈 溢 出 过 程 中 ， 原 来 a d d r _ l i m i t 的 K E R N E L _ D S   值 保 存 了 起 来 。 栈 一 次 次 返 回 ， 最 终 将 会 把   a d d r _ l i m i t   重 置 为 U S E R _ D S 。 但 如 果 我 们 直 接 返 回 到 用 户 空 间 ，   a d d r _ l i m i t   将 保 持   K E R N E L _ D S   。 所 以 我 这 样 构 造 新 栈 ， 或 多 或 少 复 制 了 栈 顶 的 数 据 ： u n s i g n e d   l o n g n e w _ s t a c k [ ]   =   {   0 x f f f f f f f f 8 1 8 2 5 2 f 2 , / *   r e t u r n   p o i n t e r   o f   s y s c a l l   h a n d l e r   * /   / *   1 6   u s e l e s s r e g i s t e r s   * /   0 x 1 5 1 5 1 5 1 5 1 5 1 5 1 5 1 5 , 0 ,   0 ,   0 ,   0 ,   0 ,   0 ,   0 ,   0 ,   0 ,   0 ,   0 ,   0 ,   0 ,   0 ,   0 ,   ( u n s i g n e d l o n g )   p o s t _ c o r r u p t i o n _ u s e r _ c o d e ,   / *   u s e r   R I P   * /   0 x 3 3 ,   / *   u s e r C S   * /   0 x 2 4 6 ,   / * E F L A G S :   m o s t   i m p o r t a n t l y ,   t u r n   i n t e r r u p t s   o n   * /   / *   u s e r   R S P * /   ( u n s i g n e d l o n g )   ( p o s t _ c o r r u p t i o n _ u s e r _ s t a c k   +   s i z e o f ( p o s t _ c o r r u p t i o n _ u s e r _ s t a c k ) ) ,   0 x 2 b   / *   u s e r S S   * / } ; 杀 掉 F U S E 服 务 进 程 后 ， 递 归 进 程 继 续 运 行 到 p o s t _ c o r r u p t i o n _ u s e r _ c o d e 函 数 上 。 这 个 函 数 可 以 使 用 管 道 向 任 意 内 核 地 址 写 数 据 ， 因 为 c o p y _ t o _ u s e r ( ) 中 的 地 址 检 查 已 经 失 效 。 v o i d k e r n e l _ w r i t e ( u n s i g n e d   l o n g   a d d r ,   c h a r   * b u f ,   s i z e _ t   l e n )   {     i n t   p i p e f d s [ 2 ] ;     i f   ( p i p e ( p i p e f d s ) )         e r r ( 1 ,   " p i p e " ) ;     i f   ( w r i t e ( p i p e f d s [ 1 ] ,   b u f ,   l e n )   ! =   l e n )
        e r r x ( 1 ,   " p i p e   w r i t e " ) ;     c l o s e ( p i p e f d s [ 1 ] ) ;     i f   ( r e a d ( p i p e f d s [ 0 ] ,   ( c h a r * ) a d d r ,   l e n )   ! = l e n )         e r r x ( 1 ,   " p i p e   r e a d   t o k e r n e l s p a c e " ) ;     c l o s e ( p i p e f d s [ 0 ] ) ; } 现 在 你 就 可 以 在 用 户 态 舒 服 地 执 行 任 意 读 写 操 作 了 。 如 果 你 想 要 r o o t   s h e l l ， 可 以 覆 盖 c o r e d u m p 函 数 ， 它 存 储 在 一 个 静 态 变 量 里 ， 然 后 触 发 一 个   S I G S E G V ， 就 可 以 以 r o o t 权 限 执 行 c o r e d u m p 函 数 ： c h a r * c o r e _ h a n d l e r   =   " | / t m p / c r a s h _ t o _ r o o t " ;   k e r n e l _ w r i t e ( 0 x f f f f f f f f 8 1 e 8 7 a 6 0 , c o r e _ h a n d l e r ,   s t r l e n ( c o r e _ h a n d l e r ) + 1 ) ; 漏 洞 修 复 漏 洞 修 复 有 两 个 独 立 的 补 丁 可 用 于 修 复 该 B U G ： 其 中 ， 2 f 3 6 d b 7 1 0 0 9 3   禁 止 通 过 e c r y p t f s 打 开 没 有 m m a p 函 数 的 文 件 ，   e 5 4 a d 7 f 1 e e 2 6   禁 止 在 p r o c f s 上 层 叠 任 何 东 西 ， 因 为 的 确 没 什 么 道 理 要 在 其 上 层 叠 任 何 东 西 。 不 过 ， 我 还 是 写 了 一 个 完 整 的 r o o t 提 权 漏 洞 利 用 程 序 。 我 主 要 想 说 明 l i n u x 栈 溢 出 可 能 会 以 非 常 隐 蔽 的 方 式 出 现 ， 即 便 开 启 了 一 些 现 有 的 漏 洞 缓 解 措 施 ， 它 们 仍 然 可 利 用 。 在 我 写 的 漏 洞 报 告 中 ， 我 有 提 到 给 内 核 增 加 内 存 保 护 页 ， 移 除 栈 底 部 的   t h r e a d _ i n f o 结 构 体 ， 这 样 缓 解 这 类 漏 洞 的 利 用 ， 有 其 他 操 作 系 统 就 是 这 么 干 的 。 A n d y   L u t o m i r s k i 已 经 开 始 着 手 这 方 面 的 工 作 ， 并 发 布 了 增 加 了 内 存 保 护 页 的 补 丁 包 ：   h t t p s : / / l k m l . o r g / l k m l / 2 0 1 6 / 6 / 1 5 / 1 0 6 4 。 *   本 文 译 者 ： M i c h a e l 2 3 ， 文 章 参 考 来 源 ： B l o g s p o t ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理