搜索

[13651] 2019-01-14_Linux中create_elf_tables函数整型溢出漏洞分析（CVE-2018-14634）

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2019-01-14_Linux中create_elf_tables函数整型溢出漏洞分析（CVE-2018-14634） L i n u x 中 c r e a t e _ e l f _ t a b l e s 函 数 整 型 溢 出 漏 洞 分 析 （ C V E - 2 0 1 8 - 1 4 6 3 4 ） A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 1 - 1 4 在 这 篇 文 章 中 ， 我 们 将 跟 大 家 分 析 在 这 篇 文 章 中 ， 我 们 将 跟 大 家 分 析 L i n u x 平 台 中 平 台 中 c r e a t e e l f t a b l e s 函 数 的 一 个 整 型 溢 出 漏 洞 （ 函 数 的 一 个 整 型 溢 出 漏 洞 （ C V E - 2 0 1 8 - 1 4 6 3 4 ） 。 ） 。 概 述 概 述 在 近 期 的 一 次 安 全 分 析 过 程 中 ， 我 们 在 6 4 位 L i n u x 系 统 内 核 里 的 c r e a t e e l f t a b l e s ( ) 函 数 中 发 现 了 一 个 整 型 溢 出 漏 洞 ， 本 地 攻 击 者 将 可 以 通 过 一 份 S U I D - r o o t 代 码 来 利 用 这 个 漏 洞 ， 并 获 取 到 目 标 设 备 的 完 整 r o o t 权 限 。 目 前 ， 受 该 漏 洞 影 响 的 L i n u x 发 行 版 有 R e d   H a t   L i n u x 企 业 版 、 C e n t O S 和 D e b i a n   8 。 漏 洞 分 析 漏 洞 分 析 “ a r g c ” 表 示 传 递 给 e x e c v e ( ) 系 统 调 用 的 命 令 行 参 数 个 数 ， 个 数 受 f s / e x e c . c 中 M A X A R G S T R I N G S 的 限 制 ； “ e n v c ” 表 示 传 递 给 e x e c v e ( ) 的 环 境 变 量 个 数 ， 个 数 同 样 受 到 M A X A R G S T R I N G S 的 限 制 ； 但 是 由 于 M A X A R G S T R I N G S 为 0 x 7 F F F F F F F ， 所 以 我 们 可 以 让 整 数 “ i t e m s ” 发 生 溢 出 并 让 程 序 失 效 。 此 时 ， 我 们 就 可 以 以 增 加 用 户 态 的 栈 指 针 ， 然 后 将 用 户 态 栈 指 针 指 向 我 们 的 参 数 和 环 境 变 量 字 符 串 ， 最 终 在 用 户 模 式 执 行 S U I D - r o o t 代 码 时 重 写 这 些 字 符 串 。 漏 洞 利 用 漏 洞 利 用 1 5 0 # d e f i n e   S T A C K _ R O U N D ( s p ,   i t e m s )     1 5 1                   ( ( ( u n s i g n e d   l o n g )   ( s p   -   i t e m s ) )   & ~ 1 5 U L )   . . .   1 6 5   c r e a t e _ e l f _ t a b l e s ( s t r u c t   l i n u x _ b i n p r m * b p r m ,   s t r u c t   e l f h d r   * e x e c ,   . . .   1 6 9                 i n t   a r g c   =   b p r m - > a r g c ;   1 7 0                 i n t   e n v c   =   b p r m - > e n v c ;   1 7 1                 e l f _ a d d r _ t   _ _ u s e r   * s p ;   . . .   1 7 8                 i n t   i t e m s ;   . . .   1 9 0                 p   =   a r c h _ a l i g n _ s t a c k ( p ) ;   . . .   2 8 7                 i t e m s   =   ( a r g c   +   1 )   +   ( e n v c   +   1 )   +   1 ;   2 8 8                 b p r m - > p   =   S T A C K _ R O U N D ( s p ,   i t e m s ) ;   . . .   2 9 5                 s p   =   ( e l f _ a d d r _ t   _ _ u s e r   * ) b p r m - > p ;
在 使 用 e x e c v e ( ) 运 行 S U I D - r o o t 代 码 时 ， 我 们 的 “ i t e m s ” 值 为 0 x 8 0 0 0 0 0 0 0 ， 参 数 指 针 的 大 小 约 为 0 x 8 0 0 0 0 0 0 0   *   s i z e o f ( c h a r * )   =   1 6 G B ， 参 数 字 符 串 为 1 6 G B ， 环 境 字 符 串 也 为 1 6 G B ， 因 此 我 们 的 漏 洞 利 用 环 境 “ 只 ” 需 要 2   *   1 6 G B   =   3 2 G B 内 存 ， 而 并 非 3   *   1 6 G B   =   4 8 G B 或 者 更 多 ， 因 为 我 们 使 用 了 一 些 小 技 巧 来 减 少 内 存 指 纹 。 下 面 这 个 图 表 代 表 了 S U I D - r o o t 代 码 开 始 执 行 后 ， 我 们 的 用 户 态 栈 结 构 ： - “ A ” （ “ a l p h a ” ） 为 c r e a t e e l f t a b l e s ( ) 分 配 的 栈 空 间 大 小 （ 代 码 1 9 0 - 2 8 7 行 ） ， 大 约 为 5 1 2 字 节 。 - “ s p r a n d ” 是 c r e a t e e l f t a b l e s ( ) 分 配 的 随 机 栈 空 间 大 小 （ 代 码 1 9 0 行 ） ， 大 小 范 围 在 0 - 8 1 9 2 字 节 之 间 。 - “ p r o t e c t ” 参 数 字 符 串 是 一 个 非 常 重 要 的 命 令 行 参 数 & 选 项 ， 这 个 参 数 必 须 不 能 受 到 内 存 崩 溃 的 影 响 。 - “ p a d d i n g ” 参 数 字 符 串 大 约 需 要 占 用 1 6 G B 栈 空 间 。 - “ p r o t e c t ” 环 境 字 符 串 是 一 个 重 要 的 环 境 变 量 ， 必 须 必 须 不 能 受 到 内 存 崩 溃 的 影 响 。 - “ s c r a t c h ” 环 境 字 符 串 为 1 M B 。 - “ o n e b y t e ” 环 境 字 符 串 为 2 5 6 K B ， 其 部 分 数 据 会 被 f n a m e [ ] 缓 冲 区 覆 盖 。 - “ B ” （ “ b e t a ” ） 为 l d . s o 分 配 的 栈 空 间 数 量 。 此 时 ， l d . s o 会 使 用 h a n d l e l d p r e l o a d ( ) 中 f n a m e [ ] 缓 冲 区 的 数 据 重 写 “ o n e b y t e ” 环 境 变 量 中 的 部 分 数 据 ， 并 让 p r o c e s s e n v v a r s ( ) 中 的 U N S E C U R E E C V V A R S 等 过 滤 器 失 效 。 我 们 的 P O C 代 码 能 够 利 用 c r e a t e e l f t a b l e s ( ) 中 的 这 个 整 型 溢 出 漏 洞 ， 演 示 样 例 如 下 ： 附 件 附 件 p o c - s u i d b i n . c ： h t t p s : / / s e c l i s t s . o r g / f u l l d i s c l o s u r e / 2 0 1 8 / S e p / a t t - 5 4 / p o c - s u i d b i n _ c . b i n p o c - e x p l o i t . c ： h t t p s : / / s e c l i s t s . o r g / f u l l d i s c l o s u r e / 2 0 1 8 / S e p / a t t - 5 4 / p o c - e x p l o i t _ c . b i n * 参 考 来 源 ： 参 考 来 源 ： s e c l i s t s ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M #   g c c - O 0   - o   p o c - s u i d b i n   p o c - s u i d b i n . c # c h o w n   r o o t   p o c - s u i d b i n # c h m o d   4 5 5 5   p o c - s u i d b i n   $   g c c - o   p o c - e x p l o i t   p o c - e x p l o i t . c $ t i m e   . / p o c - e x p l o i t . . . E R R O R : l d . s o :   o b j e c t   ' L D _ L I B R A R Y _ P A T H = . 0 L D _ L I B R A R Y _ P A T H = . 0 L D _ L I B R A R Y _ P A T H = . '   f r o m L D _ P R E L O A D   c a n n o t   b e   p r e l o a d e d :   i g n o r e d . E R R O R : l d . s o :   o b j e c t   ' L D _ L I B R A R Y _ P A T H = . 0 L D _ L I B R A R Y _ P A T H = . '   f r o m   L D _ P R E L O A D   c a n n o t   b e p r e l o a d e d :   i g n o r e d . E R R O R : l d . s o :   o b j e c t   ' L D _ L I B R A R Y _ P A T H = . '   f r o m   L D _ P R E L O A D   c a n n o t   b e   p r e l o a d e d :   i g n o r e d . a r g c 2 1 4 7 0 9 0 4 1 9 s t a c k 0 x 7 f f b e 1 1 5 0 0 8 f   <   0 x 7 f f b e 1 1 5 0 1 8 8   <   0 x 7 f f f e 0 e 5 0 1 2 8   <   0 x 7 f f 7 e 1 1 5 0 3 e a   < 0 x 7 f f b e 1 0 2 c d e a g e t e n v 0 x 7 f f b e 1 1 4 d 8 3 b   . 0 x 7 f f b e 1 1 4 d 8 2 b L D _ L I B R A R Y _ P A T H = . 0 x 7 f f b e 1 1 4 d f 6 0 L D _ L I B R A R Y _ P A T H = . 0 x 7 f f b e 1 1 4 d f 7 2 L D _ L I B R A R Y _ P A T H = . . . . 0 x 7 f f b e 1 1 4 e 6 9 e L D _ L I B R A R Y _ P A T H = . 0 x 7 f f b e 1 1 4 e 6 b 0 L D _ L I B R A R Y _ P A T H = . 0 x 7 f f b e 1 1 4 e 6 c 2 L D _ L I B R A R Y _ P A T H = .   r e a l         5 m 3 8 . 6 6 6 s u s e r         0 m 0 . 0 4 9 s s y s           1 m 5 7 . 8 2 8 s
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理