搜索

[26373] 2021-02-22_一个小小指针，竟把Linux内核攻陷了！

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-02-22_一个小小指针，竟把Linux内核攻陷了！ 一 个 小 小 指 针 ， 竟 把 L i n u x 内 核 攻 陷 了 ！ L i n u x 学 习   2 0 2 1 - 0 2 - 2 2 以 下 文 章 来 源 于 编 程 技 术 宇 宙   ， 作 者 轩 辕 之 风 O 来 自 公 众 号 ： 来 自 公 众 号 ： 编 程 技 术 宇 宙 编 程 技 术 宇 宙 怎 样 攻 进 操 作 系 统 内 核 ？ 怎 样 攻 进 操 作 系 统 内 核 ？ 这 是 一 个 很 有 意 思 也 很 硬 核 的 问 题 。 黑 客 通 过 应 用 程 序 的 漏 洞 （ 如 J a v a 、 P H P 、 A p a c h e 、 I E 、 C h r o m e 、 A d o b e 、 o f f i c e 等 ） 获 得 执 行 代 码 能 力 后 ， 由 于 操 作 系 统 安 全 方 面 的 设 定 ， 很 多 情 况 下 都 是 在 沙 盒 沙 盒 或 者 低 权 限 进 程 低 权 限 进 程 中 运 行 ， 许 多 操 作 都 无 法 进 行 。 要 想 做 更 多 高 权 限 的 事 情 ， 黑 客 通 常 会 使 用 工 具 来 提 权 提 权 。 x 8 6 a r m 操 作 系 统 的 安 全 防 线 是 建 立 在 内 核 至 高 权 限 掌 控 的 基 础 之 上 ， 无 论 是 杀 毒 软 件 ， 沙 箱 ， 还 是 防 火 墙 都 运 行 在 内 核 态 。 要 突 破 安 全 包 围 ， 必 须 获 得 内 核 级 权 限 的 执 行 能 力 ， 才 能 和 这 些 安 全 防 护 正 面 P K 。 我 们 常 常 听 到 的 A n d r o i d 系 统 系 统 R O O T 和 i O S 系 统 的 越 狱 系 统 的 越 狱 就 是 内 核 攻 击 的 典 型 应 用 。 获 得 内 核 权 限 以 后 ， 攻 击 者 可 安 装 r o o t k i t 级 木 马 病 毒 ， 实 现 文 件 隐 藏 、 进 程 隐 藏 、 通 信 隐 藏 等 高 级 木 马 功 能 ， 对 系 统 危 害 极 为 严 重 。 内 核 0 d a y 漏 洞 ， 在 A P T 攻 击 中 是 核 武 器 级 别 的 存 在 ， 地 下 网 络 安 全 交 易 市 场 价 值 巨 大 。 编 程 技 术 宇 宙 编 程 技 术 宇 宙   . 一 个 文 章 很 酷 的 公 众 号 ~
进 入 内 核 的 四 种 方 式 进 入 内 核 的 四 种 方 式 实 际 上 ， 我 们 的 程 序 每 时 每 刻 都 在 往 返 于 用 户 空 间 和 内 核 空 间 ， 只 不 过 这 些 进 出 的 大 门 都 被 操 作 系 统 提 前 安 排 好 了 ， 进 入 内 核 后 该 去 哪 里 执 行 什 么 代 码 ， 是 操 作 系 统 说 了 算 ， 由 不 得 我 们 自 己 的 程 序 做 主 。 从 用 户 态 空 间 进 入 内 核 ， 有 四 种 方 式 ： 从 用 户 态 空 间 进 入 内 核 ， 有 四 种 方 式 ： 中 断 中 断 ： 中 断 分 为 两 种 ： 硬 中 断 和 软 中 断 硬 中 断 ： 硬 件 设 备 向 C P U 发 起 的 中 断 信 号 软 中 断 ： C P U 执 行 i n t 指 令 触 发 ， 早 期 的 操 作 系 统 中 实 现 系 统 调 用 就 是 通 过 这 种 方 式 ， 如 W i n d o w s 上 的   i n t   2 e ， L i n u x 上 的   i n t 8 0 不 管 是 硬 中 断 还 是 软 中 断 ， C P U 遇 到 以 后 都 会 保 留 当 前 执 行 的 现 场 上 下 文 ， 进 入 内 核 去 执 行 中 断 处 理 函 数 。 这 些 函 数 记 录 在 中 断 描 述 符 表 I D T 中 ， 由 操 作 系 统 初 始 化 系 统 的 时 候 预 先 安 排 。 异 常 异 常 ： 异 常 是 C P U 在 执 行 指 令 的 过 程 中 出 现 的 问 题 ， 如 除 法 指 令 的 除 数 为 0 ， 访 问 的 内 存 地 址 无 效 等 等 。 异 常 和 中 断 处 理 逻 辑 类 似 ， 也 是 通 过 记 录 在 I D T 中 的 异 常 处 理 函 数 来 执 行 ， 同 样 由 操 作 系 统 初 始 化 系 统 的 时 候 预 先 安 排 。 系 统 调 用 系 统 调 用 ： 系 统 调 用 大 家 应 该 就 很 熟 悉 了 ， 我 们 要 实 现 文 件 系 统 访 问 、 网 络 I / O 、 进 程 线 程 使 用 、 内 存 分 配 释 放 等 等 行 为 ， 都 需 要 借 助 操 作 系 统 提 供 的 编 程 接 口 来 实 现 ， 这 些 接 口 叫 做 ： 系 统 调 用 系 统 调 用 。 前 面 提 到 ， 早 期 的 x 8 6 架 构 下 的 C P U ， 没 有 专 门 的 系 统 调 用 机 制 ， 操 作 系 统 们 都 使 用 软 中 断 的 形 式 来 进 入 内 核 完 成 系 统 调 用 。 后 来 ， 因 为 系 统 调 用 是 一 个 很 高 频 的 需 求 ， 软 中 断 的 方 式 效 率 有 些 低 下 ， C P U 加 入 了 专 门 的 系 统 调 用 机 制 ， 这 包 括 一 些 专 用 的 寄 存 器 和 一 些 专 用 的 系 统 调 用 指 令 。 如 s y s e n t e r ( x 8 6 ) 、 s y s c a l l ( x 6 4 ) 、 s w i ( a r m ) 。 通 过 系 统 调 用 进 入 内 核 后 ， 该 转 向 哪 里 执 行 也 是 操 作 系 统 提 前 安 排 好 了 ， 由 不 得 应 用 程 序 做 主 。 开 发 驱 动 程 序 开 发 驱 动 程 序 ： 最 后 一 种 进 入 内 核 的 方 式 就 是 开 发 驱 动 程 序 了 ， 但 加 载 驱 动 本 身 就 需 要 极 高 的 权 限 ， 所 以 这 一 点 就 不 详 述 了 。 以 上 就 是 通 过 正 规 途 径 ， 让 我 们 的 程 序 进 入 内 核 态 运 行 的 方 式 ， 可 见 ， 一 旦 进 入 内 核 态 ， 执 行 流 就 进 入 了 操 作 系 统 提 前 设 置 好 的 代 码 ， 攻 击 者 没 办 法 胡 来 。
有 正 规 途 径 ， 当 然 就 有 不 正 规 途 径 ， 也 就 是 通 过 形 形 色 色 的 漏 洞 攻 击 系 统 内 核 ， 从 而 使 我 们 的 程 序 进 入 内 核 态 执 行 ， 这 也 是 这 篇 文 章 的 重 点 。 下 面 列 举 一 些 常 见 的 攻 击 手 法 。 零 地 址 攻 击 零 地 址 攻 击 学 过 C 语 言 的 朋 友 都 知 道 ， 零 地 址 ， 也 就 是 N U L L ， 在 C 语 言 中 代 表 着 空 指 针 空 指 针 。 一 些 没 有 经 验 的 程 序 员 在 写 一 些 接 口 函 数 时 ， 往 往 容 易 忘 记 检 查 指 针 参 数 是 否 是 N U L L ， 而 导 致 程 序 的 崩 溃 异 常 。 以 3 2 位 操 作 系 统 为 例 ， 进 程 的 地 址 空 间 是 ： 0 x 0 0 0 0 0 0 0 0 ~ 0 x F F F F F F F F ， 在 x 8 6 架 构 上 ， 内 存 一 般 以 4 K B 页 面 单 元 进 行 管 理 。 你 有 没 有 想 过 ， 如 果 进 程 的 地 址 空 间 中 ， 以 零 地 址 （ 也 就 是 N U L L ） 开 始 的 第 一 个 4 K B 页 面 如 果 被 分 配 了 ， 会 出 现 什 么 事 情 ？ 假 设 在 内 核 中 ， 有 一 段 代 码 忘 记 对 空 指 针 的 检 查 ， 就 通 过 这 个 指 针 来 调 用 函 数 。 而 攻 击 者 提 前 将 零 地 址 页 面 分 配 准 备 好 数 据 ， 就 像 这 样 ： 这 会 发 生 什 么 后 果 ？ 后 果 就 是 ， 攻 击 者 的 代 码 将 会 在 内 核 态 下 执 行 ！ 然 而 假 设 不 只 是 假 设 ， 它 曾 真 实 发 生 过 ， 就 算 强 如 微 软 的 程 序 大 佬 ， 也 会 有 忘 记 检 查 空 指 针 的 时 候 。 典 型 漏 洞 案 例 ： C V E - 2 0 1 4 - 4 1 1 3
  W i n d o w s 释 放 后 使 用 ： 释 放 后 使 用 ： U A F 除 了 空 指 针 ， 悬 在 C / C + + 程 序 员 头 顶 的 还 有 一 把 利 刃 ， 这 就 是 悬 空 指 针 悬 空 指 针 。 悬 空 指 针 的 意 思 是 忘 记 对 已 经 释 放 的 内 存 / 对 象 指 针 即 时 置 空 ， 而 在 后 面 又 去 使 用 这 个 指 针 ， 但 此 时 对 应 的 内 存 已 被 回 收 ， 引 发 不 可 预 期 的 后 果 。 哎 ， 这 个 指 针 可 真 是 害 人 不 浅 啊 ！ 你 有 没 有 想 过 ， 假 如 在 对 象 释 放 后 忘 记 对 指 针 及 时 置 空 ， 后 面 又 继 续 使 用 这 个 指 针 ， 就 在 这 两 个 动 作 发 生 之 间 的 那 一 段 时 间 里 ， 不 怀 好 意 的 人 去 把 原 来 释 放 的 那 块 内 存 空 间 给 “ 占 领 ” 了 ， 布 置 好 恶 意 的 数 据 代 码 ， 会 发 生 什 么 后 果 ？ 这 就 是 大 名 鼎 鼎 的 释 放 后 使 用 释 放 后 使 用 U A F 攻 击 攻 击 ！ U A F 意 思 是 U s e   A f t e r   F r e e 。 来 看 一 个 简 单 的 例 子 ： 两 个 对 象 ， 一 个 真 ， 一 个 假 ， 它 俩 对 象 占 据 的 内 存 空 间 一 样 大 。 下 面 这 段 代 码 ， 在 原 始 对 象 释 放 后 ， 忘 记 对 o b j 指 针 置 空 ， 随 后 分 配 一 个 F a k e O b j e c t ， 由 于 堆 分 配 算 法 的 原 因 ， 这 俩 对 象 一 样 大 小 ， 很 大 概 率 新 的 对 象 就 会 分 配 到 刚 刚 释 放 的 那 片 内 存 上 去 。
此 时 再 通 过 原 来 已 经 悬 空 的 指 针 来 调 用 函 数 ， 实 际 上 调 用 到 了 新 的 对 象 的 函 数 ， 劫 持 了 执 行 流 程 。 这 只 是 一 个 简 单 的 示 例 ， 真 实 环 境 中 比 这 要 复 杂 得 多 ， 但 原 理 是 一 致 的 。 而 这 种 事 情 一 旦 发 生 在 系 统 内 核 ， 那 后 果 就 严 重 了 ， 应 用 程 序 可 以 劫 持 内 核 空 间 的 执 行 流 程 ， 执 行 自 己 的 代 码 。 典 型 漏 洞 案 例 ：   L i n u x 整 数 溢 出 整 数 溢 出   +   数 组 越 界 数 组 越 界 在 操 作 系 统 中 ， 有 很 多 函 数 地 址 以 表 格 的 形 式 存 储 了 起 来 ， 如 ： 系 统 调 用 表 ： S S D T / s y s _ c a l l _ t a b l e 中 断 描 述 符 表 ： I D T 假 如 有 办 法 能 修 改 这 些 表 格 中 的 函 数 地 址 ， 改 写 成 攻 击 者 的 代 码 地 址 ， 不 就 能 有 办 法 让 我 们 的 代 码 在 内 核 模 式 下 运 行 了 吗 ？ 道 理 是 这 么 个 道 理 ， 但 这 些 表 格 本 身 就 位 于 内 核 空 间 ， 普 通 应 用 程 序 别 说 去 改 写 了 ， 连 读 取 都 费 劲 。 那 真 的 没 办 法 了 吗 ？ 还 是 有 的 ！ 假 如 内 核 中 某 段 代 码 在 向 某 个 数 组 中 某 个 元 素 写 入 数 据 ， 又 恰 巧 忘 记 了 检 查 数 组 的 下 标 是 不 是 越 界 ， 再 恰 好 这 个 下 标 可 以 通 过 应 用 程 序 来 控 制 ， 那 岂 不 是 可 以 越 界 写 ？ 一 不 小 心 写 到 了 前 面 那 些 函 数 表 格 里 去 C V E - 2 0 1 6 - 0 7 2 8
了 咋 办 ？ 你 可 能 已 经 意 识 到 了 ， 这 不 是 假 设 ， 是 真 实 案 例 ！ 典 型 漏 洞 案 例 ：   L i n u x 这 是 一 个 L i n u x 内 核 任 意 地 址 写 入 漏 洞 ， 通 过 精 准 控 制 系 统 调 用 的 参 数 ， 实 现 改 写 I D T 中 的 函 数 地 址 为 恶 意 代 码 地 址 ， 实 现 在 内 核 态 执 行 恶 意 代 码 ！ 下 面 是 一 些 内 核 攻 击 的 真 实 案 例 ： 安 全 防 御 安 全 防 御 魔 高 一 尺 ， 道 高 一 丈 ， 形 形 色 色 的 攻 击 也 推 进 了 操 作 系 统 和 C P U 的 安 全 能 力 建 设 ： I n t e l ®   2 0 1 1 年 在 第 三 代 C o r e 处 理 器 禁 止 内 核 状 态 下 去 执 行 用 户 地 址 空 间 指 令 S M E P （ s u p e r v i s o r   m o d e   e x e c u t e   p r e v e n t i o n ） ， 设 置 C R 4 寄 存 器 的 b i t 2 0 位 为 1 开 启 A R M 从 a r m v 7 开 始 加 入 P X N 技 术 ， 原 理 同 S M E P W i n d o w s   8 . 1 禁 止 使 用 零 页 地 址 内 存 L i n u x   2 . 6 . 2 6 开 始 使 用 v m . m m a p _ m i n _ a d d r 限 制 地 址 空 间 最 小 值 ， 防 止 使 用 零 页 内 存 · · · · · · 空 指 针 、 悬 空 指 针 、 数 组 越 界 、 整 数 溢 出 · · · 这 些 一 个 个 看 起 来 不 起 眼 的 编 程 问 题 ， 如 果 发 生 在 操 作 系 统 内 核 之 中 ， 那 造 成 的 后 果 便 是 灾 难 性 的 ！ 可 见 ， 养 成 一 个 好 的 编 程 习 惯 有 多 重 要 ！ C V E - 2 0 1 3 - 2 0 9 4
连 开 发 操 作 系 统 的 大 神 程 序 员 们 都 会 犯 错 误 ， 何 况 我 们 呢 ？ 你 有 检 查 函 数 参 数 的 习 惯 吗 ？ 你 有 及 时 对 无 效 指 针 置 空 的 习 惯 吗 ？ 欢 迎 评 论 区 交 流 ～ 你 有 检 查 函 数 参 数 的 习 惯 吗 ？ 你 有 及 时 对 无 效 指 针 置 空 的 习 惯 吗 ？ 欢 迎 评 论 区 交 流 ～ 推 荐 推 荐 ↓ ↓ ↓ 运 维 运 维
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理