搜索

[12894] 2018-07-02_四两拨千斤：UbuntukerneleBPF0day分析

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-18
2018-07-02_四两拨千斤：UbuntukerneleBPF0day分析 四 两 拨 千 斤 ： U b u n t u   k e r n e l   e B P F   0 d a y 分 析 腾 讯 安 全 平 台 部   F r e e B u f   2 0 1 8 - 0 7 - 0 2 0 x 0 1   背 景 背 景 中 国 武 术 博 大 精 深 ， 其 中 太 极 作 为 不 以 拙 力 胜 人 的 功 夫 备 受 推 崇 。 同 样 如 果 从 攻 击 的 角 度 窥 视 漏 洞 领 域 ， 也 不 难 看 出 攻 防 之 间 的 博 弈 不 乏 “ 太 极 ” 的 身 影 ， 轻 巧 稳 定 易 利 用 的 漏 洞 与 工 具 往 往 更 吸 引 黑 客 ， 今 天 笔 者 要 着 墨 分 析 的 就 是 这 样 一 个 擅 长 “ 四 两 拨 千 斤 ” 的 0 d a y 漏 洞 。 0 d a y 漏 洞 的 攻 击 威 力 想 必 大 家 都 听 说 过 ， 内 核 0 d a y 更 因 为 其 影 响 范 围 广 ， 修 复 周 期 长 而 备 受 攻 击 者 的 青 睐 。 近 期 ， 国 外 安 全 研 究 者 V i t a l y   N i k o l e n k o 在 t w i t t e r [ 1 ] 上 公 布 了 一 个 U b u n t u   1 6 . 0 4 的 内 核 0 d a y 利 用 代 码 [ 2 ] ， 攻 击 者 可 以 无 门 槛 的 直 接 利 用 该 代 码 拿 到 U b u n t u 的 最 高 权 限 ( r o o t ) ； 虽 然 只 影 响 特 定 版 本 ， 但 鉴 于 U b u n t u 在 全 球 拥 有 大 量 用 户 ， 尤 其 是 公 有 云 用 户 ， 所 以 该 漏 洞 对 企 业 和 个 人 用 户 还 是 有 不 小 的 风 险 。 笔 者 对 该 漏 洞 进 行 了 技 术 分 析 ， 不 管 从 漏 洞 原 因 还 是 利 用 技 术 看 ， 都 相 当 有 代 表 性 ， 是 D a t a - O r i e n t e d   A t t a c k s 在 l i n u x 内 核 上 的 一 个 典 型 应 用 。 仅 利 用 传 入 的 精 心 构 造 的 数 据 即 可 控 制 程 序 流 程 ， 达 到 攻 击 目 的 ， 完 全 绕 过 现 有 的 一 些 内 存 防 护 措 施 ， 有 着 “ 四 两 拨 千 斤 ” 的 效 果   。 0 x 0 2   漏 洞 原 因 漏 洞 原 因 这 个 漏 洞 存 在 于 L i n u x 内 核 的 e B P F 模 块 ， 我 们 先 来 简 单 了 解 下 e B P F 。 e B P F ( e x t e n d e d   B e r k e l e y   P a c k e t   F i l t e r ) 是 内 核 源 自 于 B P F 的 一 套 包 过 滤 机 制 ， 严 格 来 说 ， e B P F 的 功 能 已 经 不 仅 仅 局 限 于 网 络 包 过 滤 ， 利 用 它 可 以 实 现 k e r n e l   t r a c i n g ， t r a c f i c   c o n t r o l ， 应 用 性 能 监 控 等 强 大 功 能 。 为 了 实 现 如 此 强 大 的 功 能 ， e B P F 提 供 了 一 套 类 R I S C 指 令 集 ， 并 实 现 了 该 指 令 集 的 虚 拟 机 ， 使 用 者 通 过 内 核 A P I 向 e B P F 提 交 指 令 代 码 来 完 成 特 定 的 功 能 。 看 到 这 里 ， 有 经 验 的 安 全 研 究 者 可 能 会 想 到 ， 能 向 内 核 提 交 可 控 的 指 令 代 码 去 执 行 ， 很 可 能 会 带 来 安 全 问 题 。 事 实 也 确 实 如 此 ， 历 史 上 B P F 存 在 大 量 漏 洞   [ 3 ] 。 关 于 e B P F 的 更 多 细 节 ， 可 以 参 考 这 里 [ 4 ] [ 5 ] 。 e B P F 在 设 计 时 当 然 也 考 虑 了 安 全 问 题 ， 它 在 内 核 中 实 现 了 一 套 v e r i f i e r 机 制 ， 过 滤 不 合 规 的 e B P F 代 码 。 然 而 这 次 的 漏 洞 就 出 在 e B P F 的 v e r i f i e r 机 制 。 从 最 初 V i t a l y   N i k o l e n k o 公 布 的 补 丁 截 图 ， 我 们 初 步 判 断 该 漏 洞 很 有 可 能 和 C V E - 2 0 1 7 - 1 6 9 9 5 是 同 一 个 漏 洞 洞 [ 6 ] ， 但 随 后 有 2 个 疑 问 ： 1 . C V E - 2 0 1 7 - 1 6 9 9 5 在 去 年 1 2 月 份 ， 内 核 4 . 9 和 4 . 1 4 及 后 续 版 本 已 经 修 复 ， 为 何 U b u n t u 使 用 的 4 . 4 版 本 没 有 修
复 ？ 2 . C V E - 2 0 1 7 - 1 6 9 9 5 是 G o o g l e   P r o j e c t   Z e r o 团 队 的 J a n n   H o r n 发 现 的 e B P F 漏 洞 ， 存 在 于 内 核 4 . 9 和 4 . 1 4 版 本 [ 7 ] ， 作 者 在 漏 洞 报 告 中 对 漏 洞 原 因 只 有 简 短 的 描 述 ， 跟 本 次 的 漏 洞 是 否 完 全 相 同 ？ 注 ： 笔 者 所 有 的 代 码 分 析 及 调 试 均 基 于 U b u n t u   1 4 . 0 4 ， 内 核 版 本 为 4 . 4 . 0 - 3 1 - g e n e r i c   # 5 0 ~ 1 4 . 0 4 . 1 - U b u n t u [ 8 ] 。 先 来 回 答 第 二 个 问 题 ， 中 间 的 调 试 分 析 过 程 在 此 不 表 。 参 考 以 下 代 码 ， e B P F 的 v e r i f e r 代 码 ( k e r n e l / b p f / v e r i f i e r . c ) 中 会 对 A L U 指 令 进 行 检 查 ( c h e c k _ a l u _ o p ) ， 该 段 代 码 最 后 一 个 e l s e 分 支 检 查 的 指 令 是 ： 1 . B P F _ A L U 6 4 | B P F _ M O V | B P F _ K ， 把 6 4 位 立 即 数 赋 值 给 目 的 寄 存 器 ； 2 . B P F _ A L U | B P F _ M O V | B P F _ K ， 把 3 2 位 立 即 数 赋 值 给 目 的 寄 存 器 ； 但 这 里 并 没 有 对 2 条 指 令 进 行 区 分 ， 直 接 把 用 户 指 令 中 的 立 即 数 i n s n - > i m m 赋 值 给 了 目 的 寄 存 器 ， i n s n - > i m m 和 目 的 寄 存 器 的 类 型 是 i n t e g e r ， 这 个 操 作 会 有 什 么 影 响 呢 ？ 我 们 再 来 看 下 ， e B P F 运 行 时 代 码 ( k e r n e l / b p f / c o r e . c ) ， 对 这 2 条 指 令 的 解 释 是 怎 样 的 ( b p f _ p r o g _ r u n ) 。 参 考 以 下 代 码 ， 上 面 2 条 A L U 指 令 分 别 对 应 A L U _ M O V _ K 和 A L U 6 4 _ M O V _ K ， 可 以 看 出 v e r i f i e r 和 e B P F 运 行 时 代 码 对 于 2 条 指 令 的 语 义 解 释 并 不 一 样 ， D S T 是 6 4 b i t 寄 存 器 ， 因 此 A L U _ M O V _ K 得 到 的 是 一 个 3 2 b i t   u n s i g n e d   i n t e g e r ， 而 A L U 6 4 _ M O V _ K 会 对 i m m 进 行 s i g n   e x t e n s i o n ， 得 到 一 个 s i g n e d   6 4 b i t   i n t e g e r 。
至 此 ， 我 们 大 概 知 道 漏 洞 的 原 因 ， 这 个 逻 辑 与 C V E - 2 0 1 7 - 1 6 9 9 5 基 本 一 致 ， 虽 然 代 码 细 节 上 有 些 不 同 ( 内 核 4 . 9 和 4 . 1 4 对 v e r i f i e r 进 行 了 较 大 调 整 ) 。 但 这 里 的 语 义 不 一 致 又 会 造 成 什 么 影 响 ？ 我 们 再 来 看 下 v e f i e r 中 以 下 代 码 ( c h e c k _ c o n d _ j m p _ o p ) ， 这 段 代 码 是 对 B P F _ J M P | B P F _ J N E | B P F _ I M M 指 令 进 行 检 查 ， 这 条 指 令 的 语 义 是 ： 如 果 目 的 寄 存 器 立 即 数 = = 指 令 的 立 即 数 ( i n s n - > i m m ) ， 程 序 继 续 执 行 ， 否 则 执 行 p c + o f f 处 的 指 令 ； 注 意 判 断 立 即 数 相 等 的 条 件 ， 因 为 前 面 A L U 指 令 对 3 2 b i t 和 6 4 b i t   i n t e g e r 不 加 区 分 ， 不 论 i m m 是 否 有 符 号 ， 在 这 里 都 是 相 等 的 。 再 看 下 e B P F 运 行 时 对 B P F _ J M P | B P F _ J N E | B P F _ I M M 指 令 的 解 释 ( b p f _ p r o g _ r u n ) ， 显 然 当 i m m 为 有 符 合 和 无 符 号 时 ， 因 为 s i g n   e x t e n s i o n ， D S T ! = I M M 结 果 是 不 一 样 的 。 注 意 这 是 条 跳 转 指 令 ， 这 里 的 语 义 不 一 致 后 果 就 比 较 直 观 了 ， 相 当 于 我 们 可 以 通 过 A L U 指 令 的 立 即 数 ， 控 制 跳 转 指 令 的 逻 辑 。 这 个 想 象 空 间 就 比 较 大 了 ， 也 是 后 面 漏 洞 利 用 的 基 础 ， 比 如 可 以 控 制 e B P F 程 序 完 全 绕 过 v e r i f i e r 机 制 的 检 查 ， 直 接 在 运 行 时 执 行 恶 意 代 码 。 值 得 一 提 的 是 ， 虽 然 这 个 漏 洞 的 原 因 和 C V E - 2 0 1 7 - 1 6 9 9 5 基 本 一 样 ， 但 但 控 制 跳 转 指 令 的 思 路 和 C V E - 2 0 1 7 - 1 6 9 9 5 中 J a n n   H o r n 给 的 P O C 思 路 并 不 一 样 。 感 兴 趣 的 读 者 可 以 分 析 下 ， C V E - 2 0 1 7 - 1 6 9 9 5 中 P O C ， 因 为 A L U   s i g n   e x t e n s i o n 的 缺 陷 ， 导 致 e B P F 中 对 指 针 的 操 作 会 计 算 不 正 确 ， 从 而 绕 过 v e r i f i e r 的 指 针 检 查 ， 最 终 读 写 任 意 k e r n e l 内 存 。 但 这 种 利 用 方 法 ， 在 4 . 4 的 内 核 中 是 行 不 通 的 ， 因 为 4 . 4 内 核 的 e B P F 不 允 许 对 指 针 类 型 进 行 A L U 运 算 。 到 这 里 ， 我 们 回 过 头 来 看 下 第 一 个 问 题 ， 既 然 漏 洞 原 因 一 致 ， 为 什 么 U b u n t u   4 . 4 的 内 核 没 有 修 复 该 漏 洞 呢 ？ 和 L i n u x k e r n e l 的 开 发 模 式 有 关 。 L i n u x   k e r n e l 分 m a i n l i n e ， s t a b l e ， l o n g t e r m   3 种 版 本 [ 9 ] ， 一 般 安 全 问 题 都 会 在 m a i n l i n e 中 修 复 ， 但 对 于 l o n g t e r m ， 仅 会 选 择 重 要 的 安 全 补 丁 进 行 b a c k p o r t ， 因 此 可 能 会 出 现 ， 对 某 个 漏 洞 不 重 视 或 判 断 有 误 ， 导 致 该 漏 洞 仍 然 存 在 于 l o n g t e r m 版
本 中 ， 比 如 本 次 的 4 . 4   l o n g t e r m ， 最 初 J a n n   H o r n 并 没 有 在 报 告 中 提 到 影 响 4 . 9 以 下 的 版 本 。 关 于 L i n u x   k e r n e l 对 l o n g t e r m 版 本 的 维 护 ， 争 论 由 来 已 久 [ 1 0 ] ， 社 区 主 流 意 见 是 建 议 用 户 使 用 最 新 版 本 。 但 各 个 发 行 版 ( 比 如 U b u n t u ) 出 于 稳 定 性 及 开 发 成 本 考 虑 ， 一 般 选 择 l o n g t e r m 版 本 作 为 b a s e ， 自 行 维 护 一 套 k e r n e l 。 对 于 嵌 入 式 系 统 ， 这 个 问 题 更 严 重 ， 大 量 厂 商 代 码 导 致 内 核 升 级 的 风 险 及 成 本 都 远 高 于 b a c k p o r t 安 全 补 丁 ， 因 此 大 部 分 嵌 入 式 系 统 至 今 也 都 在 使 用 比 较 老 的 l o n g t e r m 版 本 。 比 如 G o o g l e   A n d r o i d 在 去 年 P i x e l   / P i x e l   X L   2 发 布 时 ， 内 核 版 本 才 从 3 . 1 8 升 级 到 4 . 4 ， 原 因 也 许 是 3 . 1 8 已 经 进 入 E O L 了 ( E n d   o f   L i f e ) ， 也 就 是 社 区 要 宣 布 3 . 1 8 进 入 死 亡 期 了 ， 后 续 不 会 在 b a c k p o r t 安 全 补 丁 到 3 . 1 8 ， 而 最 新 的 m a i n l i n e 版 本 已 经 到 了 4 . 1 6 。 笔 者 去 年 也 在 A n d r o i d   k e r n e l 中 发 现 了 一 个 未 修 复 的 历 史 漏 洞 ( 已 报 告 给 g o o g l e 并 修 复 ) ， 但 u p s t r e a m 在 2 年 前 就 修 复 了 。 而 V i t a l y   N i k o l e n k o 可 能 是 基 于 C V E - 2 0 1 7 - 1 6 9 9 5 的 报 告 ， 在 4 . 4 版 本 中 发 现 存 在 类 似 漏 洞 ， 并 找 到 了 一 个 种 更 通 用 的 利 用 方 法 ( 控 制 跳 转 指 令 ) 。 0 x 0 3   漏 洞 利 用 漏 洞 利 用 根 据 上 一 节 对 漏 洞 原 因 的 分 析 ， 我 们 利 用 漏 洞 绕 过 e B P F   v e r i f i e r 机 制 后 ， 就 可 以 执 行 任 意 e B P F 支 持 的 指 令 ， 当 然 最 直 接 的 就 是 读 写 任 意 内 存 。 漏 洞 利 用 步 骤 如 下 ： 1 . 构 造 e B P F 指 令 ， 利 用 A L U 指 令 缺 陷 ， 绕 过 e B P F   v e r i f i e r 机 制 ； 2 . 构 造 e B P F 指 令 ， 读 取 内 核 栈 基 址 ； 3 . 根 据 泄 漏 的 S P 地 址 ， 继 续 构 造 e B P F 指 令 ， 读 取 t a s k _ s t r u c t 地 址 ， 进 而 得 到 t a s k _ s t r u c t - > c r e d 地 址 ； 4 . 构 造 e B P F 指 令 ， 覆 写 c r e d - > u i d ,   c r e d - > g i d 为 0 ， 完 成 提 权 。 漏 洞 利 用 的 核 心 ， 在 于 精 心 构 造 的 恶 意 e B P F 指 令 ， 这 段 指 令 在 V i t a l y   N i k o l e n k o 的 e x p 中 是 1 6 机 制 字 符 串 ( c h a r * _ _ p r o g ) ， 并 不 直 观 ， 笔 者 为 了 方 便 ， 写 了 个 小 工 具 ， 把 这 些 指 令 还 原 成 比 较 友 好 的 形 式 ， 当 然 也 可 以 利 用 e B P F 的 调 试 机 制 ， 在 内 核 l o g 中 打 印 出 e B P F 指 令 的 可 读 形 式 。 我 们 来 看 下 这 段 e B P F 程 序 ， 共 4 1 条 指 令 ( 笔 者 写 的 小 工 具 的 输 出 ) ：
稍 微 解 释 下 ， i n s   0   和   i n s   1   一 起 完 成 了 绕 过 e B P F   v e r i f i e r 机 制 。 i n s   0 指 令 后 ， r e g s [ 9 ]   =   0 x f f f f f f f f ， 但 在 v e r i f i e r 中 ， r e g s [ 9 ] . i m m   =   - 1 ， 当 执 行 i n s   1 时 ， j m p 指 令 判 断 r e g s [ 9 ]   = =   0 x f f f f f f f f ， 注 意 r e g s [ 9 ] 是 6 4 b i t   i n t e g e r ， 因 为 s i g n e x t e n s i o n ， r e g s [ 9 ]   = =   0 x f f f f f f f f 结 果 为 f a l s e ， e B P F 跳 过 2 ( o f f ) 条 指 令 ， 继 续 往 下 执 行 ； 而 在 v e r i f i e r 中 ， j m p 指 令 的 r e g s [ 9 ] . i m m   = =   i n s n - > i m m 结 果 为 t r u e ， 程 序 走 另 一 个 分 支 ， 会 执 行 i n s   3   j m p | e x i t 指 令 ， 导 致 v e r i f i e r 认 为 程 序 已 结 束 ， 不 会 去 检 查 其 余 的 d e a d   c o d e 。 这 样 因 为 e B P F 的 检 测 逻 辑 和 运 行 时 逻 辑 不 一 致 ， 我 们 就 绕 过 了 v e r i f i e r 。 后 续 的 指 令 就 是 配 合 用 户 态 e x p 完 成 对 k e r n e l 内 存 的 读 写 。 这 里 还 需 要 知 道 下 e B P F 的 m a p 机 制 ， e B P F 为 了 用 户 态 更 高 效 的 与 内 核 态 交 互 ， 设 计 了 一 套 m a p 机 制 ， 用 户 态 程 序 和 e B P F 程 序 都 可 以 对 m a p 区 域 的 内 存 进 行 读 写 ， 交 换 数 据 。 利 用 代 码 中 ， 就 是 利 用 m a p 机 制 ， 完 成 用 户 态 程 序 与 e B P F 程 序 的 交 互 。 i n s 4 - i n s 5 :   r e g s [ 9 ]   =   s t r u c t   b p f _ m a p   * m a p ， 得 到 用 户 态 程 序 申 请 的 m a p 的 地 址 ， 注 意 这 2 条 指 令 ， 笔 者 的 静 态 解 析 并 不 准 确 ， 获 取 m a p 指 针 的 指 令 ， 在 e B P F   v e r i f i e r 中 ， 会 对 指 令 内 容 进 行 修 改 ， 替 换 m a p 指 针 的 值 。 i n s 6 - i n s 1 2 :   调 用 b p f _ m a p _ l o o k u p _ e l e m ( m a p ,   & k e y ) ， 返 回 值 为 r e g s [ 0 ]   =   & m a p - > v a l u e [ 0 ] i n s 1 3 :   r e g s [ 6 ]   =   * r e g s [ 0 ] ，   r e g s [ 6 ] 得 到 m a p 中 k e y = 0 的 v a l u e 值 i n s 1 4 - i n s 2 0 :   继 续 调 用 b p f _ m a p _ l o o k u p _ e l e m ( m a p ,   & k e y ) ， r e g s [ 0 ]   =   & m a p - > v a l u e [ 1 ] i n s 2 1 :   r e g s [ 7 ]   =   * r e g s [ 0 ] ， r e g s [ 7 ] 得 到 m a p 中 k e y = 1 的 v a l u e 值 i n s 2 2 - i n s 2 8 :   继 续 调 用 b p f _ m a p _ l o o k u p _ e l e m ( m a p ,   & k e y ) ， r e g s [ 0 ]   =   & m a p - > v a l u e [ 2 ] i n s 2 9 :   r e g s [ 8 ]   =   * r e g s [ 0 ] ， r e g s [ 8 ] 得 到 m a p 中 k e y = 2 的 v a l u e 值 p a r s i n g   e B P F   p r o g ,   s i z e   3 2 8 ,   l e n   4 1 i n s   0 :   c o d e ( b 4 )   a l u   |   =   |   i m m ,   d s t _ r e g   9 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   f f f f f f f f i n s   1 :   c o d e ( 5 5 )   j m p   |   ! =   |   i m m ,   d s t _ r e g   9 ,   s r c _ r e g   0 ,   o f f   2 ,   i m m   f f f f f f f f i n s   2 :   c o d e ( b 7 )   a l u 6 4   |   =   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   3 :   c o d e ( 9 5 )   j m p   |   e x i t   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   4 :   c o d e ( 1 8 )   l d   |   B P F _ I M M   |   u 6 4 ,   d s t _ r e g   9 ,   s r c _ r e g   1 ,   o f f   0 ,   i m m   3 i n s   5 :   c o d e ( 0 0 )   l d   |   B P F _ I M M   |   u 3 2 ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   6 :   c o d e ( b f )   a l u 6 4   |   =   |   s r c _ r e g ,   d s t _ r e g   1 ,   s r c _ r e g   9 ,   o f f   0 ,   i m m   0 i n s   7 :   c o d e ( b f )   a l u 6 4   |   =   |   s r c _ r e g ,   d s t _ r e g   2 ,   s r c _ r e g   a ,   o f f   0 ,   i m m   0 i n s   8 :   c o d e ( 0 7 )   a l u 6 4   |   + =   |   i m m ,   d s t _ r e g   2 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   f f f f f f f c i n s   9 :   c o d e ( 6 2 )   s t   |   B P F _ M E M   |   u 3 2 ,   d s t _ r e g   a ,   s r c _ r e g   0 ,   o f f   f f f f f f f c ,   i m m   0 i n s   1 0 :   c o d e ( 8 5 )   j m p   |   c a l l   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   1 i n s   1 1 :   c o d e ( 5 5 )   j m p   |   ! =   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   1 ,   i m m   0 i n s   1 2 :   c o d e ( 9 5 )   j m p   |   e x i t   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   1 3 :   c o d e ( 7 9 )   l d x   |   B P F _ M E M   |   u 6 4 ,   d s t _ r e g   6 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   1 4 :   c o d e ( b f )   a l u 6 4   |   =   |   s r c _ r e g ,   d s t _ r e g   1 ,   s r c _ r e g   9 ,   o f f   0 ,   i m m   0 i n s   1 5 :   c o d e ( b f )   a l u 6 4   |   =   |   s r c _ r e g ,   d s t _ r e g   2 ,   s r c _ r e g   a ,   o f f   0 ,   i m m   0 i n s   1 6 :   c o d e ( 0 7 )   a l u 6 4   |   + =   |   i m m ,   d s t _ r e g   2 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   f f f f f f f c i n s   1 7 :   c o d e ( 6 2 )   s t   |   B P F _ M E M   |   u 3 2 ,   d s t _ r e g   a ,   s r c _ r e g   0 ,   o f f   f f f f f f f c ,   i m m   1 i n s   1 8 :   c o d e ( 8 5 )   j m p   |   c a l l   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   1 i n s   1 9 :   c o d e ( 5 5 )   j m p   |   ! =   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   1 ,   i m m   0 i n s   2 0 :   c o d e ( 9 5 )   j m p   |   e x i t   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   2 1 :   c o d e ( 7 9 )   l d x   |   B P F _ M E M   |   u 6 4 ,   d s t _ r e g   7 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   2 2 :   c o d e ( b f )   a l u 6 4   |   =   |   s r c _ r e g ,   d s t _ r e g   1 ,   s r c _ r e g   9 ,   o f f   0 ,   i m m   0 i n s   2 3 :   c o d e ( b f )   a l u 6 4   |   =   |   s r c _ r e g ,   d s t _ r e g   2 ,   s r c _ r e g   a ,   o f f   0 ,   i m m   0 i n s   2 4 :   c o d e ( 0 7 )   a l u 6 4   |   + =   |   i m m ,   d s t _ r e g   2 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   f f f f f f f c i n s   2 5 :   c o d e ( 6 2 )   s t   |   B P F _ M E M   |   u 3 2 ,   d s t _ r e g   a ,   s r c _ r e g   0 ,   o f f   f f f f f f f c ,   i m m   2 i n s   2 6 :   c o d e ( 8 5 )   j m p   |   c a l l   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   1 i n s   2 7 :   c o d e ( 5 5 )   j m p   |   ! =   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   1 ,   i m m   0 i n s   2 8 :   c o d e ( 9 5 )   j m p   |   e x i t   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   2 9 :   c o d e ( 7 9 )   l d x   |   B P F _ M E M   |   u 6 4 ,   d s t _ r e g   8 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   3 0 :   c o d e ( b f )   a l u 6 4   |   =   |   s r c _ r e g ,   d s t _ r e g   2 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   3 1 :   c o d e ( b 7 )   a l u 6 4   |   =   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   3 2 :   c o d e ( 5 5 )   j m p   |   ! =   |   i m m ,   d s t _ r e g   6 ,   s r c _ r e g   0 ,   o f f   3 ,   i m m   0 i n s   3 3 :   c o d e ( 7 9 )   l d x   |   B P F _ M E M   |   u 6 4 ,   d s t _ r e g   3 ,   s r c _ r e g   7 ,   o f f   0 ,   i m m   0 i n s   3 4 :   c o d e ( 7 b )   s t x   |   B P F _ M E M   |   u 6 4 ,   d s t _ r e g   2 ,   s r c _ r e g   3 ,   o f f   0 ,   i m m   0 i n s   3 5 :   c o d e ( 9 5 )   j m p   |   e x i t   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   3 6 :   c o d e ( 5 5 )   j m p   |   ! =   |   i m m ,   d s t _ r e g   6 ,   s r c _ r e g   0 ,   o f f   2 ,   i m m   1 i n s   3 7 :   c o d e ( 7 b )   s t x   |   B P F _ M E M   |   u 6 4 ,   d s t _ r e g   2 ,   s r c _ r e g   a ,   o f f   0 ,   i m m   0 i n s   3 8 :   c o d e ( 9 5 )   j m p   |   e x i t   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 i n s   3 9 :   c o d e ( 7 b )   s t x   |   B P F _ M E M   |   u 6 4 ,   d s t _ r e g   7 ,   s r c _ r e g   8 ,   o f f   0 ,   i m m   0 i n s   4 0 :   c o d e ( 9 5 )   j m p   |   e x i t   |   i m m ,   d s t _ r e g   0 ,   s r c _ r e g   0 ,   o f f   0 ,   i m m   0 p a r s e d   4 1   i n s ,   t o t a l   4 1
i n s 3 0 :   r e g s [ 2 ]   =   r e g s [ 0 ] i n s 3 2 :   i f ( r e g s [ 6 ]   ! =   0 )   j m p   i n s 3 2   +   3 ， 根 据 用 户 态 传 入 的 k e y 值 不 同 ， 做 不 同 的 操 作 i n s 3 3 :   r e g s [ 3 ]   =   * r e g s [ 7 ] ， 读 取 r e g s [ 7 ] 中 地 址 的 内 容 ， 用 户 态 的 r e a d 原 语 ， 就 在 这 里 完 成 ， r e g s [ 7 ] 中 的 地 址 为 用 户 态 传 入 的 任 意 内 核 地 址 i n s 3 4 :   * r e g s [ 2 ]   =   r e g s [ 3 ] ， 把 上 调 指 令 读 取 的 值 返 回 给 用 户 态 i n s 3 6 :   i f ( r e g s [ 6 ]   ! =   1 )   j m p   i n s 3 6   +   2 i n s 3 7 :   * r e g s [ 2 ]   =   r e g s [ F P ] ,   读 取 e B P F 的 运 行 时 栈 指 针 ， 返 回 给 用 户 态 ， 注 意 这 个 e B P F 的 栈 指 针 实 际 上 指 向 b p f _ p r o g _ r u n 函 数 中 的 一 个 局 部 u i n t 6 4 数 组 ， 在 内 核 栈 上 ， 从 这 个 值 可 以 得 到 内 核 栈 的 基 址 ， 这 段 指 令 对 应 用 户 态 的 g e t _ f p i n s 3 9 :   * r e g s [ 7 ]   =   r e g s [ 8 ] ， 向 r e g s [ 7 ] 中 的 地 址 写 入 r e g s [ 8 ] ， 对 应 用 户 态 的 w r i t e 原 语 ， r e g s [ 7 ] 中 的 地 址 为 用 户 态 传 入 的 任 意 内 核 地 址 理 解 了 这 段 e B P F 程 序 ， 再 看 用 户 态 e x p 就 很 容 易 理 解 了 。 需 要 注 意 的 是 ， e B P F 指 令 中 的 3 个 关 键 点 ： 泄 漏 F P ， 读 任 意 k e r n e l 地 址 ， 写 任 意 k e r n e l 地 址 ， 在 v e r i f i e r 中 都 是 有 检 查 的 ， 但 因 为 开 始 的 2 条 指 令 完 全 绕 过 了 v e r i f i e r ， 导 致 后 续 的 指 令 长 驱 直 入 。 笔 者 在 U b u n t u   1 4 . 0 4 上 提 权 成 功 ： 这 种 攻 击 方 式 和 传 统 的 内 存 破 坏 型 漏 洞 不 同 ， 不 需 要 做 复 杂 的 内 存 布 局 ， 只 需 要 修 改 用 户 态 传 入 的 数 据 ， 就 可 以 达 到 控 制 程 序 指 令 流 的 目 的 ， 利 用 的 是 原 有 程 序 的 正 常 功 能 ， 会 完 全 绕 过 现 有 的 各 种 内 存 防 御 机 制 ( S M E P / S M A P 等 ) ， 有 一 种 四 两 拨 千 斤 的 效 果 。 这 也 是 这 两 年 流 行 的 D a t a - O r i e n t e d   A t t a c k s ， 在 l i n u x k e r n e l 中 似 乎 并 不 多 见 。 0 x 0 4   漏 洞 影 响 范 围 漏 洞 影 响 范 围 & 修 复 修 复 因 为 l i n u x   k e r n e l 的 内 核 版 本 众 多 ， 对 于 安 全 漏 洞 的 影 响 范 围 往 往 并 不 容 易 确 认 ， 最 准 确 的 方 式 是 搞 清 楚 漏 洞 根 因 后 ， 从 代 码 层 面 判 断 ， 但 这 也 带 来 了 高 成 本 的 问 题 ， 快 速 应 急 时 ， 我 们 往 往 需 要 尽 快 确 认 漏 洞 影 响 范 围 。 从 前 面 的 漏 洞 原 理 来 看 ， 笔 者 大 致 给 一 个 全 面 的 l i n u x   k e r n e l 受 影 响 版 本 ： 3 . 1 8 - 4 . 4 所 有 版 本 ( 包 括 l o n g t e r m   3 . 1 8 ， 4 . 1 ， 4 . 4 ) ； < 3 . 1 8 ， 因 内 核 e B P F 还 未 引 入 v e r i f i e r 机 制 ， 不 受 影 响 。 对 于 大 量 用 户 使 用 的 各 个 发 行 版 ， 还 需 要 具 体 确 认 ， 因 为 该 漏 洞 的 触 发 ， 还 需 要 2 个 条 件 1 . K e r n e l 编 译 选 项 C O N F I G _ B P F _ S Y S C A L L 打 开 ， 启 用 了 b p f   s y s c a l l ； 2 . / p r o c / s y s / k e r n e l / u n p r i v i l e g e d _ b p f _ d i s a b l e d 设 置 为 0 ， 允 许 非 特 权 用 户 调 用 b p f   s y s c a l l 而 U b u n t u 正 好 满 足 以 上 3 个 条 件 。 关 于 修 复 ， u p s t r e a m   k e r n e l 在 3 月 2 2 日 发 布 的 4 . 4 . 1 2 3 版 已 经 修 复 该 漏 洞 [ 1 1 ] [ 1 2 ] ， U b u n t u 官 方 4 月 5 日 也 正 式 发 布 了 安 全 公 告 和 修 复 版 本 [ 1 3 ] [ 1 4 ] ， 没 有 修 复 的 同 学 可 以 尽 快 升 级 了 。 但 现 在 距 漏 洞 E x p 公 开 已 经 过 去 2 0 多 天 了 ， 在 漏 洞 应 急 时 ， 我 们 显 然 等 不 了 这 么 久 ， 回 过 头 看 看 当 初 的 临 时 修 复 方 案 ： 1 . 设 置 / p r o c / s y s / k e r n e l / u n p r i v i l e g e d _ b p f _ d i s a b l e d 为 1 ， 也 是 最 简 单 有 效 的 方 式 ， 虽 然 漏 洞 仍 然 存 在 ， 但 会 让 e x p 失 效 ； 2 . 使 用 U b u n t u 的 预 发 布 源 ， 更 新 U b u n t u   4 . 4 的 内 核 版 本 ， 因 为 是 非 正 式 版 ， 其 稳 定 性 无 法 确 认 。 V i t a l y   N i k o l e n k o 在 t w i t t e r 上 公 布 的 U b u n t u 预 发 布 源 ： a l l   4 . 4   u b u n t u   a w s   i n s t a n c e s   a r e   v u l n e r a b l e :   e c h o “ d e b   h t t p : / / a r c h i v e . u b u n t u . c o m / u b u n t u / x e n i a l - p r o p o s e d   r e s t r i c t e d   m a i n   m u l t i v e r s e   u n i v e r s e ”   >   / e t c / a p t / s o u r c e s . l i s t   & & a p t   u p d a t e   & &   a p t   i n s t a l l   l i n u x - i m a g e - 4 . 4 . 0 - 1 1 7 - g e n e r i c
U b u n t u 的 非 正 式 内 核 版 本 ， 做 了 哪 些 修 复 ， 我 们 可 以 看 下 补 丁 的 关 键 内 容 ( 注 意 这 是 U b u n t u 的 k e r n e l 版 本 ， 非 u p s t r e a m ) ： g i t   d i f f   U b u n t u - l t s - 4 . 4 . 0 - 1 1 6 . 1 4 0 _ 1 4 . 0 4 . 1   U b u n t u - l t s - 4 . 4 . 0 - 1 1 7 . 1 4 1 _ 1 4 . 0 4 . 1 A L U 指 令 区 分 了 3 2 b i t 和 6 4 b i t 立 即 数 ， 同 时 r e g s [ ] . i m m 改 为 了 6 4 b i t   i n t e g e r 还 增 加 了 一 项 有 意 思 的 检 查 ， 把 所 有 的 d e a d _ c o d e 替 换 为 n o p 指 令 ， 这 个 明 显 是 针 对 e x p 来 的 ， 有 点 类 似 于 e x p 的 m i t i g a t i o n ， u p s t r e a m   k e r n e l 可 能 并 不 一 定 喜 欢 这 样 的 修 复 风 格 ： ） 关 于 这 个 漏 洞 ， U b u n t u 还 有 一 些 相 关 的 修 复 代 码 ， 感 兴 趣 的 读 者 ， 可 以 自 行 发 掘 。 我 们 再 看 下 u p s t r e a m   k e r n e l   4 . 4 . 1 2 3 的 修 复 ， 相 比 之 下 ， 要 简 洁 的 多 ， 仅 有 3 行 代 码 改 动 [ 1 2 ] ： 当 处 理 3 2 b i t   A L U 指 令 时 ， 如 果 i m m 为 负 数 ， 直 接 忽 略 ， 认 为 是 U N K N O W N _ V A L U E ， 这 样 也 就 避 免 了 前 面 提 到 的 v e r i f e r 和 运 行 时 语 义 不 一 致 的 问 题 。 另 外 A n d r o i d   k e r n e l 上 ， b p f   s y c a l l 是 没 有 启 用 的 ， 所 以 不 受 该 漏 洞 影 响 。
0 x 0 5   引 发 的 思 考 引 发 的 思 考 我 们 回 顾 以 下 整 个 漏 洞 分 析 过 程 ， 有 几 点 值 得 注 意 和 思 考 ： 1 . e B P F 作 为 内 核 提 供 的 一 种 强 大 机 制 ， 因 为 其 复 杂 的 过 滤 机 制 ， 稍 有 不 慎 ， 将 会 引 入 致 命 的 安 全 问 题 ， 笔 者 推 测 后 续 e B P F 可 能 还 会 有 类 似 安 全 漏 洞 。 2 . 受 限 于 l i n u x   k e r n e l 的 开 发 模 式 及 众 多 版 本 ， 安 全 漏 洞 的 确 认 和 修 复 可 能 存 在 被 忽 视 的 情 况 ， 出 现 N   d a y 变 0 d a y 的 场 景 。 3 . V i t a l y   N i k o l e n k o 公 布 漏 洞 e x p 后 ， 有 网 友 就 提 出 了 批 评 ， 在 厂 商 发 布 正 式 补 丁 前 ， 不 应 该 公 布 细 节 。 我 们 暂 且 不 讨 论 V i t a l y   N i k o l e n k o 的 动 机 ， 作 为 一 名 安 全 从 业 者 ， 负 责 任 的 披 露 漏 洞 是 基 本 守 则 。 4 . 笔 者 所 在 公 司 使 用 的 O S 是 经 过 专 门 的 团 队 量 身 定 制 ， 进 行 了 不 少 的 安 全 加 固 和 冗 余 组 件 裁 剪 ， 故 不 受 到 此 次 漏 洞 影 响 。 可 见 维 护 一 个 安 全 可 靠 的 O S 不 失 为 保 障 大 型 企 业 的 安 全 方 案 之 一 。 感 谢 阅 读 ， 行 文 匆 忙 ， 如 有 不 正 之 处 ， 敬 请 指 出 。 0 x 0 6   参 考 文 档 参 考 文 档 [ 1 ]   h t t p s : / / t w i t t e r . c o m / v n i k 5 2 8 7 / s t a t u s / 9 7 4 4 3 9 7 0 6 8 9 6 1 8 7 3 9 2 [ 2 ]   h t t p : / / c y s e c l a b s . c o m / e x p l o i t s / u p s t r e a m 4 4 . c [ 3 ]   h t t p s : / / c v e . m i t r e . o r g / c g i - b i n / c v e k e y . c g i ? k e y w o r d = B P F [ 4 ]   h t t p s : / / w w w . i b m . c o m / d e v e l o p e r w o r k s / c n / l i n u x / l - l o - e B P F - h i s t o r y / i n d e x . h t m l [ 5 ]   h t t p s : / / w w w . k e r n e l . o r g / d o c / D o c u m e n t a t i o n / n e t w o r k i n g / f i l t e r . t x t [ 6 ] h t t p s : / / c v e . m i t r e . o r g / c g i - b i n / c v e n a m e . c g i ? n a m e = C V E - 2 0 1 7 - 1 6 9 9 5 [ 7 ] h t t p s : / / b u g s . c h r o m i u m . o r g / p / p r o j e c t - z e r o / i s s u e s / d e t a i l ? i d = 1 4 5 4 & d e s c = 3 [ 8 ] h t t p : / / k e r n e l . u b u n t u . c o m / g i t / u b u n t u / u b u n t u - t r u s t y . g i t / t r e e / ? h = U b u n t u - l t s - 4 . 4 . 0 - 3 1 . 5 0 _ 1 4 . 0 4 . 1 [ 9 ]   h t t p s : / / w w w . k e r n e l . o r g / [ 1 0 ]   h t t p s : / / l w n . n e t / A r t i c l e s / 7 0 0 5 3 0 / [ 1 1 ]   h t t p s : / / l w n . n e t / A r t i c l e s / 7 4 9 9 6 3 / [ 1 2 ]   h t t p s : / / l k m l . o r g / l k m l / 2 0 1 8 / 3 / 1 9 / 1 4 9 9 [ 1 3 ]   h t t p s : / / u s n . u b u n t u . c o m / 3 6 1 9 - 1 / [ 1 4 ]   h t t p s : / / u s n . u b u n t u . c o m / 3 6 1 9 - 2 / *   本 文 来 自 腾 讯 安 全 应 急 响 应 中 心 本 文 来 自 腾 讯 安 全 应 急 响 应 中 心 ( T S R C ) 投 稿 ， 作 者 ： 投 稿 ， 作 者 ： T e n c e n t   B l a d e   T e a m ： ： C r a d m i n ， 转 载 须 注 明 原 文 链 接 ， 转 载 须 注 明 原 文 链 接 及 出 处 。 及 出 处 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理