搜索

[29068] 2021-07-16_【漏洞分析】CVE-2021-22555：将x00x00变成10000$

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-07-16_【漏洞分析】CVE-2021-22555：将x00x00变成10000$ 【 漏 洞 分 析 】 C V E - 2 0 2 1 - 2 2 5 5 5 ： 将   x 0 0 x 0 0   变 成   1 0 0 0 0 $ O t s 安 全   2 0 2 1 - 0 7 - 1 6 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 C V E - 2 0 2 1 - 2 2 5 5 5   是   L i n u x   N e t f i l t e r   中 一 个 已 有   1 5   年 历 史 的 堆 越 界 写 入 漏 洞 ， 其 功 能 强 大 到 足 以 绕 过 所 有 现 代 安 全 缓 解 措 施 并 实 现 内 核 代 码 执 行 。 它 被 用 来 打 破 k C T F   集 群 的   k u b e r n e t e s   p o d   隔 离 ， 并 获 得 了   1 0 0 0 0   美 元 的 善 款 （ 谷 歌 将 匹 配 并 将 捐 款 翻 倍 至   2 0 0 0 0   美 元 ） 。 介 绍 介 绍 在 B l e e d i n g T o o t h 之 后 ， 这 是 我 第 一 次 研 究   L i n u x ， 我 也 想 找 到 一 个 提 权 漏 洞 。 我 开 始 以 看 旧 的 漏 洞 一 样 C V E - 2 0 1 6 - 3 1 3 4 和 C V E - 2 0 1 6 - 4 9 9 7 这 启 发 了 我 到 g r e p 的 m e m c p y ( ) 和 m e m s e t ( ) 在 N e t f i l t e r 的 代 码 。 这 导 致 我 找 到 了 一 些 有 问 题 的 代 码 。 漏 洞 漏 洞 当 I P T _ S O _ S E T _ R E P L A C E 或 者 I P 6 T _ S O _ S E T _ R E P L A C E 被 称 为 在 兼 容 模 式 ， 这 需 要 C A P _ N E T _ A D M I N 能 够 然 而 ， 在 一 个 用 户 + 网 络 命 名 空 间 来 获 得 能 力 ， 结 构 需 要 从 用 户 转 换 为 内 核 以 及 3 2 位 到 6 4 位 ， 以 便 由 本 地 函 数 进 行 处 理 。 自 然 ， 这 注 定 是 容 易 出 错 的 。 我 们 的 漏 洞 是 在 x t _ c o m p a t _ t a r g e t _ f r o m _ u s e r ( ) w h e r e m e m s e t ( ) 中 调 用 了 一 个 t a r g e t - > t a r g e t s i z e 在 分 配 过 程 中 没 有 考 虑 的 偏 移 量 -   导 致 一 些 字 节 越 界 ： / /   h t t p s : / / g i t . k e r n e l . o r g / p u b / s c m / l i n u x / k e r n e l / g i t / t o r v a l d s / l i n u x . g i t / t r e e / n e t / n e t f i l t e r / x _ t a b l e s . c v o i d   x t _ c o m p a t _ t a r g e t _ f r o m _ u s e r ( s t r u c t   x t _ e n t r y _ t a r g e t   * t ,   v o i d   * * d s t p t r , u n s i g n e d   i n t   * s i z e ) { c o n s t   s t r u c t   x t _ t a r g e t   * t a r g e t   =   t - > u . k e r n e l . t a r g e t ;
该 t a r g e t s i z e 不 是 由 用 户 控 制 ， 但 人 们 可 以 通 过 名 字 选 择 用 不 同 的 结 构 尺 寸 不 同 的 目 标 （ 如 T C P M S S ， T T L 或 N F Q U E U E ） 。 越 大 t a r g e t s i z e ， 我 们 在 偏 移 量 上 的 变 化 就 越 大 。 但 是 ， 目 标 大 小 不 得 为   8   字 节 对 齐 以 实 现 p a d   >   0 .   我 发 现 的 最 大 可 能 是 N F L O G 我 们 可 以 选 择 一 个 最 多   0 x 4 C   字 节 的 偏 移 量 （ 可 以 通 过 在 s t r u c t   x t _ e n t r y _ m a t c h 和 之 间 添 加 填 充 来 影 响 偏 移 量 s t r u c t   x t _ e n t r y _ t a r g e t ） ： 请 注 意 ， 缓 冲 区 的 目 标 是 分 配 的 ， G F P _ K E R N E L _ A C C O U N T 并 且 大 小 也 可 以 不 同 ： s t r u c t   c o m p a t _ x t _ e n t r y _ t a r g e t   * c t   =   ( s t r u c t   c o m p a t _ x t _ e n t r y _ t a r g e t   * ) t ; i n t   p a d ,   o f f   =   x t _ c o m p a t _ t a r g e t _ o f f s e t ( t a r g e t ) ; u _ i n t 1 6 _ t   t s i z e   =   c t - > u . u s e r . t a r g e t _ s i z e ; c h a r   n a m e [ s i z e o f ( t - > u . u s e r . n a m e ) ] ;     t   =   * d s t p t r ; m e m c p y ( t ,   c t ,   s i z e o f ( * c t ) ) ; i f   ( t a r g e t - > c o m p a t _ f r o m _ u s e r )         t a r g e t - > c o m p a t _ f r o m _ u s e r ( t - > d a t a ,   c t - > d a t a ) ; e l s e m e m c p y ( t - > d a t a ,   c t - > d a t a ,   t s i z e   -   s i z e o f ( * c t ) ) ;     p a d   =   X T _ A L I G N ( t a r g e t - > t a r g e t s i z e )   -   t a r g e t - > t a r g e t s i z e ; i f   ( p a d   >   0 ) m e m s e t ( t - > d a t a   +   t a r g e t - > t a r g e t s i z e ,   0 ,   p a d ) ;     t s i z e   + =   o f f ;     t - > u . u s e r . t a r g e t _ s i z e   =   t s i z e ;     s t r l c p y ( n a m e ,   t a r g e t - > n a m e ,   s i z e o f ( n a m e ) ) ;     m o d u l e _ p u t ( t a r g e t - > m e ) ; s t r n c p y ( t - > u . u s e r . n a m e ,   n a m e ,   s i z e o f ( t - > u . u s e r . n a m e ) ) ;     * s i z e   + =   o f f ;     * d s t p t r   + =   t s i z e ; } s t r u c t   x t _ n f l o g _ i n f o   { / *   ' l e n '   w i l l   b e   u s e d   i f f   y o u   s e t   X T _ N F L O G _ F _ C O P Y _ L E N   i n   f l a g s   * / _ _ u 3 2     l e n ; _ _ u 1 6     g r o u p ; _ _ u 1 6     t h r e s h o l d ; _ _ u 1 6     f l a g s ; _ _ u 1 6     p a d ; c h a r         p r e f i x [ 6 4 ] ; } ; / /   h t t p s : / / g i t . k e r n e l . o r g / p u b / s c m / l i n u x / k e r n e l / g i t / t o r v a l d s / l i n u x . g i t / t r e e / n e t / n e t f i l t e r / x _ t a b l e s . c
但 是 ， 最 小 大 小 是   >   0 x 1 0 0 ， 这 意 味 着 该 对 象 可 以 分 配 的 最 小 s l a b   是 k m a l l o c - 5 1 2 。 换 句 话 说 ， 我 们 必 须 找 到 分 配 在   k m a l l o c - 5 1 2   和   k m a l l o c - 8 1 9 2   之 间 的 受 害 者 来 利 用 。 开 发 我 们 的 原 语 仅 限 于 越 界 写 入 四 个 字 节 的 零 到   0 x 4 C   字 节 。 有 了 这 样 一 个 原 语 ， 通 常 的 目 标 是 ： 参 考 计 数 器 不 幸 的 是 ， 我 在 前   0 x 4 C   字 节 中 找 不 到 任 何 带 有 引 用 计 数 器 的 合 适 对 象 。 空 闲 列 表 指 针 C V E - 2 0 1 6 - 6 1 8 7 ： 逐 个 利 用   L i n u x   内 核 堆 是 关 于 如 何 利 用 空 闲 列 表 指 针 的 一 个 很 好 的 例 子 。 然 而 ， 这 已 经 是   5   年 前 的 事 了 ， 与 此 同 时 ， 内 核 C O N F I G _ S L A B _ F R E E L I S T _ H A R D E N E D 启 用 了 保 护 空 闲 列 表 指 针 的 选 项 。 结 构 体 中 的 指 针 这 是 最 有 前 途 的 方 法 ， 但 是 写 入 四 个 字 节 的 零 太 多 了 。 例 如 ， 指 针   0 x f f f f 9 1 a 4 9 c b 7 f 0 0 0   只 能 转 换 为   0 x f f f f 9 1 a 4 0 0 0 0 0 0 0 0   或   0 x 9 c b 7 f 0 0 0 ， 这 两 个 指 针 都 可 能 是 无 效 指 针 。 另 一 方 面 ， 如 果 我 们 使 用 原 语 在 相 邻 块 的 最 开 始 写 入 ， 我 们 可 以 写 更 少 的 字 节 ， 例 如 2 个 字 节 ， 例 如 将 指 针 从 0 x f f f f 9 1 a 4 9 c b 7 f 0 0 0 转 为 0 x f f f f 9 1 a 4 9 c b 7 0 0 0 0 。 在 处 理 一 些 受 害 者 对 象 时 ， 我 注 意 到 我 永 远 无 法 s t r u c t   x t _ t a b l e _ i n f o 在 内 核   5 . 4   上 可 靠 地 分 配 它 们 。 我 意 识 到 它 与 G F P _ K E R N E L _ A C C O U N T 标 志 有 关 ， 因 为 其 他 分 配 的 对 象 G F P _ K E R N E L _ A C C O U N T 没 有 这 个 问 题 。 J a n n   H o r n   证 实 ， 在   5 . 9   之 前 ， 使 用 单 独 的   S l a b   来 实 施 会 计 。 因 此 ， 我 们 在 利 用 链 中 使 用 的 每 个 堆 原 语 也 应 该 使 用 G F P _ K E R N E L _ A C C O U N T . 系 统 调 用 m s g s n d ( ) 是 一 个 众 所 周 知 的 堆 喷 射 原 语 （ 使 用 G F P _ K E R N E L _ A C C O U N T ） ， 并 且 已 经 被 用 于 多 个 公 共 漏 洞 利 用 。 尽 管 如 此 ， m s g _ m s g 令 人 惊 讶 的 是 ， 它 的 结 构 从 未 被 滥 用 。 在 这 篇 文 章 中 ， 我 们 将 演 示 如 何 滥 用 这 种 数 据 结 构 来 获 得 释 放 后 使 用 原 语 ， 而 后 者 又 可 用 于 泄 漏 地 址 和 伪 造 其 他 对 象 。 巧 合 的 是 ， 在 我   2 0 2 1   年   3   月 进 行 研 究 的 同 时 ， A l e x a n d e r   P o p o v   还 在 四 字 节 力 量 中 探 索 了 完 全 相 同 的 结 构 ： 在   L i n u x   内 核 中 利 用   C V E - 2 0 2 1 - 2 6 7 0 8 。 s t r u c t   x t _ t a b l e _ i n f o   * x t _ a l l o c _ t a b l e _ i n f o ( u n s i g n e d   i n t   s i z e ) { s t r u c t   x t _ t a b l e _ i n f o   * i n f o   =   N U L L ; s i z e _ t   s z   =   s i z e o f ( * i n f o )   +   s i z e ; i f   ( s z   <   s i z e o f ( * i n f o )   | |   s z   > =   X T _ M A X _ T A B L E _ S I Z E ) r e t u r n   N U L L ;     i n f o   =   k v m a l l o c ( s z ,   G F P _ K E R N E L _ A C C O U N T ) ; i f   ( ! i n f o ) r e t u r n   N U L L ; m e m s e t ( i n f o ,   0 ,   s i z e o f ( * i n f o ) ) ;     i n f o - > s i z e   =   s i z e ; r e t u r n   i n f o ; }
探 索 探 索   s t r u c t   m s g _ m s g 使 用   发 送 数 据 时 m s g s n d ( ) ， 有 效 载 荷 被 分 成 多 个 段 ： / /   h t t p s : / / g i t . k e r n e l . o r g / p u b / s c m / l i n u x / k e r n e l / g i t / t o r v a l d s / l i n u x . g i t / t r e e / i p c / m s g u t i l . c s t a t i c   s t r u c t   m s g _ m s g   * a l l o c _ m s g ( s i z e _ t   l e n ) { s t r u c t   m s g _ m s g   * m s g ; s t r u c t   m s g _ m s g s e g   * * p s e g ; s i z e _ t   a l e n ;     a l e n   =   m i n ( l e n ,   D A T A L E N _ M S G ) ;     m s g   =   k m a l l o c ( s i z e o f ( * m s g )   +   a l e n ,   G F P _ K E R N E L _ A C C O U N T ) ; i f   ( m s g   = =   N U L L ) r e t u r n   N U L L ;     m s g - > n e x t   =   N U L L ;     m s g - > s e c u r i t y   =   N U L L ;     l e n   - =   a l e n ;     p s e g   =   & m s g - > n e x t ; w h i l e   ( l e n   >   0 )   { s t r u c t   m s g _ m s g s e g   * s e g ;         c o n d _ r e s c h e d ( ) ;         a l e n   =   m i n ( l e n ,   D A T A L E N _ S E G ) ;         s e g   =   k m a l l o c ( s i z e o f ( * s e g )   +   a l e n ,   G F P _ K E R N E L _ A C C O U N T ) ; i f   ( s e g   = =   N U L L ) g o t o   o u t _ e r r ;         * p s e g   =   s e g ;         s e g - > n e x t   =   N U L L ;         p s e g   =   & s e g - > n e x t ;         l e n   - =   a l e n ;     } r e t u r n   m s g ; o u t _ e r r :     f r e e _ m s g ( m s g ) ; r e t u r n   N U L L ;
其 中 用 于 头 s t r u c t   m s g _ m s g 和 s t r u c t   m s g _ m s g s e g 有 ： i n   的 第 一 个 成 员 是 指 向 队 列 中 另 一 条 消 息 s t r u c t   m s g _ m s g 的 m l i s t . n e x t 指 针 （ 这 与 n e x t 指 向 下 一 个 段 的 指 针 不 同 ） 。 这 是 一 个 完 美 的 腐 败 候 选 人 ， 你 将 在 接 下 来 学 习 。 实 现 免 费 使 用 实 现 免 费 使 用 首 先 ， 我 们 使 用   初 始 化 了 很 多 消 息 队 列 （ 在 我 们 的 例 子 中 是   4 0 9 6 ） m s g g e t ( ) 。 然 后 ， 我 们 s t r u c t   m s g _ m s g 使 用   为 每 个 消 息 队 列 发 送 一 条 大 小 为   4 0 9 6 （ 包 括 标 题 ） 的 消 息 m s g s n d ( ) ， 我 们 将 其 称 为 主 消 息 。 最 终 ， 在 大 量 消 息 之 后 ， 我 们 有 一 些 是 连 续 的 ： 【 图   1 ： 一 系 列 主 消 息 块 】 } / /   h t t p s : / / g i t . k e r n e l . o r g / p u b / s c m / l i n u x / k e r n e l / g i t / t o r v a l d s / l i n u x . g i t / t r e e / i n c l u d e / l i n u x / m s g . h / *   o n e   m s g _ m s g   s t r u c t u r e   f o r   e a c h   m e s s a g e   * / s t r u c t   m s g _ m s g   { s t r u c t   l i s t _ h e a d   m _ l i s t ; l o n g   m _ t y p e ; s i z e _ t   m _ t s ;         / *   m e s s a g e   t e x t   s i z e   * / s t r u c t   m s g _ m s g s e g   * n e x t ; v o i d   * s e c u r i t y ; / *   t h e   a c t u a l   m e s s a g e   f o l l o w s   i m m e d i a t e l y   * / } ; / /   h t t p s : / / g i t . k e r n e l . o r g / p u b / s c m / l i n u x / k e r n e l / g i t / t o r v a l d s / l i n u x . g i t / t r e e / i n c l u d e / l i n u x / t y p e s . h s t r u c t   l i s t _ h e a d   { s t r u c t   l i s t _ h e a d   * n e x t ,   * p r e v ; } ; / /   h t t p s : / / g i t . k e r n e l . o r g / p u b / s c m / l i n u x / k e r n e l / g i t / t o r v a l d s / l i n u x . g i t / t r e e / i p c / m s g u t i l . c s t r u c t   m s g _ m s g s e g   { s t r u c t   m s g _ m s g s e g   * n e x t ; / *   t h e   n e x t   p a r t   o f   t h e   m e s s a g e   f o l l o w s   i m m e d i a t e l y   * / } ;
接 下 来 ， 我 们 使 用 以 下 命 令 为 每 个 消 息 队 列 发 送 大 小 为   1 0 2 4 的 辅 助 消 息 m s g s n d ( ) ： [ 图 2 ： 一 系 列 指 向 次 要 消 息 的 主 要 消 息 块 ] 最 后 ， 我 们 在 主 消 息 中 创 建 一 些 漏 洞 （ 在 我 们 的 例 子 中 是 每   1 0 2 4   个 ） ， 并 触 发 易 受 攻 击 的 s e t s o c k o p t ( I P T _ S O _ S E T _ R E P L A C E ) 选 项 ， 在 最 好 的 情 况 下 ， 它 将 s t r u c t   x t _ t a b l e _ i n f o 在 其 中 一 个 漏 洞 中 分 配 对 象 ： [ 图   3 ： x t _ t a b l e _ i n f o 在 块 之 间 分 配 的 A 会 破 坏 下 一 个 指 针 ] 我 们 选 择 用 零 覆 盖 相 邻 对 象 的 两 个 字 节 。 假 设 我 们 与 另 一 个 主 要 消 息 相 邻 ， 我 们 覆 盖 的 这 些 字 节 是 指 向 次 要 消 息 的 指 针 的 一 部 分 。 由 于 我 们 为 它 们 分 配 了   1 0 2 4   字 节 的 大 小 ， 因 此 我 们 有   1   -   ( 1 0 2 4   /   6 5 5 3 6 )   机 会 重 定 向 指 针 （ 我 们 失 败 的 唯 一 情 况 是 指 针 的 两 个 最 低 有 效 字 节 已 经 为 零 ） 。 现 在 ， 我 们 可 以 希 望 的 最 好 情 况 是 被 操 纵 的 指 针 也 指 向 一 个 次 要 消 息 ， 因 为 结 果 将 是 两 个 不 同 的 主 要 消 息 指 向 同 一 个 次 要 消 息 ， 这 可 能 导 致 释 放 后 使 用 ： 【 图 4 ： 由 于 指 针 损 坏 ， 两 条 主 消 息 指 向 同 一 个 次 要 消 息 】 但 是 ， 我 们 如 何 知 道 哪 两 个 主 要 消 息 指 向 同 一 个 次 要 消 息 ？ 为 了 回 答 这 个 问 题 ， 我 们 用   [ 0 ,   4 0 9 6 )   中 的 消 息 队 列 索 引 标 记 每 个 （ 主 要 和 次 要 ） 消 息 。 然 后 ， 在 触 发 损 坏 后 ， 我 们 遍 历 所 有 消 息 队 列 ， 查 看 所 有 使 用 m s g r c v ( ) w i t h   的 消 息 M S G _ C O P Y 并 查 看 它 们 是 否 相 同 。 如 果 主 消 息 的 标 签 与 次 消 息 的 标 签 不 同 ， 则 表 示 它 已 被 重 定 向 。 在 这 种 情 况 下 ， 主 要 消 息 的 标 签 代 表 假 消 息 队 列 的 索 引 ， 即 包 含 错 误 次 要 消 息 的 队 列 。
， 错 误 辅 助 消 息 的 标 签 代 表 真 实 消 息 队 列 的 索 引 。 知 道 这 两 个 索 引 ， 实 现 释 放 后 使 用 现 在 很 简 单   -   我 们 即 使 用 并 释 放 它 从 真 实 消 息 队 列 中 获 取 辅 助 消 息 ： m s g r c v ( ) [ 图   5 ： 释 放 带 有 过 时 引 用 的 辅 助 消 息 ] 请 注 意 ， 我 们 仍 然 有 对 假 消 息 队 列 中 已 释 放 消 息 的 引 用 。 绕 过 绕 过   S M A P 使 用   u n i x   套 接 字 （ 可 以 使 用   轻 松 设 置 s o c k e t p a i r ( ) ） ， 我 们 现 在 喷 射 大 量 大 小 为   1 0 2 4   的 消 息 并 模 仿 s t r u c t   m s g _ m s g 标 头 。 理 想 情 况 下 ， 我 们 能 够 收 回 之 前 释 放 的 消 息 的 地 址 ： 【 图 6 ： 假 冒 s t r u c t   m s g _ m s g 的 代 替 释 放 的 二 级 消 息 】 请 注 意 ， 这 m l i s t . n e x t 是   4 1 4 1 4 1 4 1 ， 因 为 我 们 还 不 知 道 任 何 内 核 地 址 （ 启 用   S M A P   时 ， 我 们 无 法 指 定 用 户 地 址 ） 。 没 有 内 核 地 址 是 至 关 重 要 的 ， 因 为 它 实 际 上 会 阻 止 我 们 再 次 释 放 块 （ 稍 后 您 将 了 解 为 什 么 需 要 这 样 做 ） 。 原 因 是 在   期 间 m s g r c v ( ) ， 消 息 与 作 为 循 环 列 表 的 消 息 队 列 断 开 链 接 。 幸 运 的 是 ， 我 们 实 际 上 处 于 实 现 信 息 泄 漏 的 良 好 位 置 ， 因 为 s t r u c t   m s g _ m s g .   即 ， 该 字 段 m _ t s 用 于 确 定 返 回 用 户 空 间 的 数 据 量 ： / /   h t t p s : / / g i t . k e r n e l . o r g / p u b / s c m / l i n u x / k e r n e l / g i t / t o r v a l d s / l i n u x . g i t / t r e e / i p c / m s g u t i l . c s t r u c t   m s g _ m s g   * c o p y _ m s g ( s t r u c t   m s g _ m s g   * s r c ,   s t r u c t   m s g _ m s g   * d s t ) { s t r u c t   m s g _ m s g s e g   * d s t _ p s e g ,   * s r c _ p s e g ; s i z e _ t   l e n   =   s r c - > m _ t s ; s i z e _ t   a l e n ; i f   ( s r c - > m _ t s   >   d s t - > m _ t s ) r e t u r n   E R R _ P T R ( - E I N V A L ) ;     a l e n   =   m i n ( l e n ,   D A T A L E N _ M S G ) ;
消 息 的 原 始 大 小 仅 为 1 0 2 4 - s i z e o f ( s t r u c t   m s g _ m s g ) 字 节 ， 我 们 现 在 可 以 人 为 地 增 加 到 D A T A L E N _ M S G = 4 0 9 6 - s i z e o f ( s t r u c t   m s g _ m s g ) .   因 此 ， 我 们 现 在 将 能 够 读 取 超 出 预 期 的 消 息 大 小 并 泄 漏 s t r u c t   m s g _ m s g 相 邻 消 息 的 标 头 。 如 前 所 述 ， 消 息 队 列 被 实 现 为 一 个 循 环 列 表 ， 因 此 ， m l i s t . n e x t 指 向 主 消 息 。 知 道 主 消 息 的 地 址 ， 我 们 可 以 s t r u c t   m s g _ m s g 使 用 该 地 址 重 新 制 作 假 消 息 n e x t （ 意 味 着 它 是 下 一 个 段 ） 。 然 后 可 以 通 过 读 取 多 个 字 节 来 泄 漏 主 消 息 的 内 容 D A T A L E N _ M S G 。 m l i s t . n e x t 来 自 主 消 息 的 泄 漏 指 针 揭 示 了 与 我 们 的   f a k e   相 邻 的 次 要 消 息 的 地 址 s t r u c t   m s g _ m s g 。 从 该 地 址 中 减 去   1 0 2 4 ， 我 们 终 于 得 到 了 假 消 息 的 地 址 。 实 现 更 好 的 免 费 使 用 实 现 更 好 的 免 费 使 用 现 在 ， 我 们 可 以 s t r u c t   m s g _ m s g 使 用 泄 漏 的 地 址 作 为 m l i s t . n e x t 和 m l i s t . p r e v （ 意 味 着 它 指 向 自 己 ） 重 建 假 对 象 ， 使 假 消 息 可 以 通 过 假 消 息 队 列 释 放 。 【 图   7 ： F a k e s t r u c t   m s g _ m s g 带 有 指 向 自 身 的 有 效   n e x t   指 针 】 请 注 意 ， 当 使 用   u n i x   套 接 字 进 行 喷 射 时 ， 我 们 实 际 上 有 一 个 s t r u c t   s k _ b u f f 指 向 假 消 息 的 对 象 。 显 然 ， 这 意 味 着 当 我 们 释 放 假 消 息 时 ， 我 们 仍 然 有 一 个 陈 旧 的 引 用 ： [ 图   8 ： 释 放 带 有 过 时 参 考 的 假 消 息 ] 这 个 陈 旧 的 s t r u c t   s k _ b u f f 数 据 缓 冲 区 是 一 个 更 好 的 释 放 后 使 用 场 景 ， 因 为 它 不 包 含 头 信 息 ， 这 意 味 着 我 们 现 在 可 以 使 用 它 来 释 放 平 板 上 的 任 何 类 型 的 对 象 。 相 比 之 下 ， s t r u c t   m s g _ m s g 只 有 前 两 个 成 员 是 可 写 指 针 （ 需 要 取 消 消 息 链 接 ） 时 ， 才 能 释 放 对 象 。 m e m c p y ( d s t   +   1 ,   s r c   +   1 ,   a l e n ) ;     . . . r e t u r n   d s t ; }
寻 找 受 害 者 对 象 寻 找 受 害 者 对 象 攻 击 的 最 佳 受 害 者 是 在 其 结 构 中 具 有 函 数 指 针 的 对 象 。 请 记 住 ， 受 害 者 也 必 须 分 配 有 G F P _ K E R N E L _ A C C O U N T . 与   J a n n   H o r n   交 谈 时 ， 他 建 议 s t r u c t   p i p e _ b u f f e r 在   k m a l l o c - 1 0 2 4   中 分 配 对 象 （ 因 此 辅 助 消 息 是   1 0 2 4   字 节 ） 。 该 s t r u c t   p i p e _ b u f f e r 可 以 很 容 易 地 分 配 p i p e ( ) 有 a l l o c _ p i p e _ i n f o ( ) 一 个 子 程 序 ： 虽 然 它 不 直 接 包 含 函 数 指 针 ， 但 它 包 含 一 个 指 向 s t r u c t   p i p e _ b u f _ o p e r a t i o n s 函 数 指 针 的 指 针 ： 绕 过 绕 过   K A S L R / S M E P 当 一 个 写 入 管 道 时 ， s t r u c t   p i p e _ b u f f e r 填 充 。 最 重 要 的 是 ， o p s 将 指 向 a n o n _ p i p e _ b u f _ o p s 驻 留 在   . d a t a   段 中 的 静 态 结 构 ： / /   h t t p s : / / g i t . k e r n e l . o r g / p u b / s c m / l i n u x / k e r n e l / g i t / t o r v a l d s / l i n u x . g i t / t r e e / f s / p i p e . c s t r u c t   p i p e _ i n o d e _ i n f o   * a l l o c _ p i p e _ i n f o ( v o i d ) {     . . .     u n s i g n e d   l o n g   p i p e _ b u f s   =   P I P E _ D E F _ B U F F E R S ;     . . .     p i p e   =   k z a l l o c ( s i z e o f ( s t r u c t   p i p e _ i n o d e _ i n f o ) ,   G F P _ K E R N E L _ A C C O U N T ) ;     i f   ( p i p e   = =   N U L L )         g o t o   o u t _ f r e e _ u i d ;     . . .     p i p e - > b u f s   =   k c a l l o c ( p i p e _ b u f s ,   s i z e o f ( s t r u c t   p i p e _ b u f f e r ) ,                       G F P _ K E R N E L _ A C C O U N T ) ;     . . . } / /   h t t p s : / / g i t . k e r n e l . o r g / p u b / s c m / l i n u x / k e r n e l / g i t / t o r v a l d s / l i n u x . g i t / t r e e / i n c l u d e / l i n u x / p i p e _ f s _ i . h s t r u c t   p i p e _ b u f f e r   {     s t r u c t   p a g e   * p a g e ;     u n s i g n e d   i n t   o f f s e t ,   l e n ;     c o n s t   s t r u c t   p i p e _ b u f _ o p e r a t i o n s   * o p s ;     u n s i g n e d   i n t   f l a g s ;     u n s i g n e d   l o n g   p r i v a t e ; } ; s t r u c t   p i p e _ b u f _ o p e r a t i o n s   {     . . .     / *       *   W h e n   t h e   c o n t e n t s   o f   t h i s   p i p e   b u f f e r   h a s   b e e n   c o m p l e t e l y       *   c o n s u m e d   b y   a   r e a d e r ,   - > r e l e a s e ( )   i s   c a l l e d .       * /     v o i d   ( * r e l e a s e ) ( s t r u c t   p i p e _ i n o d e _ i n f o   * ,   s t r u c t   p i p e _ b u f f e r   * ) ;     . . . } ; / /   h t t p s : / / g i t . k e r n e l . o r g / p u b / s c m / l i n u x / k e r n e l / g i t / t o r v a l d s / l i n u x . g i t / t r e e / f s / p i p e . c s t a t i c   c o n s t   s t r u c t   p i p e _ b u f _ o p e r a t i o n s   a n o n _ p i p e _ b u f _ o p s   =   {     . r e l e a s e     =   a n o n _ p i p e _ b u f _ r e l e a s e ,     . t r y _ s t e a l     =   a n o n _ p i p e _ b u f _ t r y _ s t e a l ,     . g e t         =   g e n e r i c _ p i p e _ b u f _ g e t , } ;
由 于   . d a t a   段 和   . t e x t   段 之 间 的 差 异 总 是 相 同 的 ， 拥 有 a n o n _ p i p e _ b u f _ o p s 基 本 上 可 以 让 我 们 计 算 内 核 基 地 址 。 我 们 喷 射 了 很 多 s t r u c t   p i p e _ b u f f e r 对 象 并 回 收 了 陈 旧 s t r u c t   s k _ b u f f 数 据 缓 冲 区 的 位 置 ： [ 图   9 ： 释 放 的 假 消 息 回 收 了 s t r u c t   p i p e _ b u f f e r ] 由 于 我 们 仍 然 有 来 自   的 引 用 s t r u c t   s k _ b u f f ， 我 们 可 以 读 取 其 数 据 缓 冲 区 ， 泄 漏   的 内 容 s t r u c t   p i p e _ b u f f e r 并 显 示 其 地 址 a n o n _ p i p e _ b u f _ o p s ： 有 了 这 些 信 息 ， 我 们 现 在 可 以 找 到   J O P / R O P   小 工 具 。 请 注 意 ， 当 从   u n i x   套 接 字 读 取 时 ， 我 们 实 际 上 也 释 放 了 它 的 缓 冲 区 ： [ 图   1 0 ： 释 放 的 假 消 息 回 收 利 用 s t r u c t   p i p e _ b u f f e r ] 提 升 权 限 提 升 权 限 我 们 s t r u c t   p i p e _ b u f f e r 用 一 个 假 的 o p s 指 向 一 个 假 的 来 回 收 陈 旧 的 s t r u c t   p i p e _ b u f _ o p e r a t i o n s 。 因 为 我 们 知 道 它 的 地 址 ， 所 以 这 个 假 结 构 被 放 置 在 相 同 的 位 置 ， 显 然 ， 这 个 结 构 应 该 包 含 一 个 恶 意 函 数 指 针 ， 如 r e l e a s e 。 [ + ]   a n o n _ p i p e _ b u f _ o p s :   f f f f f f f f a 1 e 7 8 3 8 0 [ + ]   k b a s e _ a d d r :   f f f f f f f f a 0 e 0 0 0 0 0
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理