老表带你学Linux kernel pwn 入门（四）

最新推荐文章于 2023-03-24 15:29:28 发布

SiameseJuly

最新推荐文章于 2023-03-24 15:29:28 发布

阅读量855

点赞数

分类专栏： CTF 文章标签：内核 linux

本文链接：https://blog.csdn.net/weixin_43889007/article/details/109646895

版权

本文是Linux kernel pwn系列的第四篇，讲解了如何利用内核态Use-After-Free (UAF)漏洞。内容包括ida中诡异变量的意义、目标驱动的逆向分析、内核堆块的申请与释放、漏洞分析以及exp的调试与编写。文中提到的堆喷射技术是利用漏洞的关键，并给出了参考资料。

摘要由CSDN通过智能技术生成

文章目录

写在前面
第一章基础知识
1.1 ida中诡异变量的意义
第二章目标分析与准备
- 2.1 逆向分析`baby.ko`
- - 2.1.1`init_moudle()`
  - 2.1.2 `ioctl`驱动文件分析
第三章exp调试与编写
第四章 linux内核中的堆喷射
第五章参考资料

写在前面

本篇是老表带你学linux kernel pwn系列的第四篇，这里用到的题目是内核态uaf漏洞。

第一章基础知识

1.1 ida中诡异变量的意义

https://www.dazhuanlan.com/2019/12/30/5e094e9beea31/

第二章目标分析与准备

2.1 逆向分析`baby.ko`

分析目标驱动文件，首先从init_module()入手，然后分析主功能函数的逻辑。

2.1.1`init_moudle()`

注册了一个misc设备``,

__int64 init_module()
{
   
  _fentry__();
  return misc_register(&off_200);
}

2.1.2 `ioctl`驱动文件分析

ioctl函数特别长我们慢慢来梳理一下

$[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-DVRujTtA-1605169406340)(C:\Users\Siamese\AppData\Roaming\Typora\typora-user-images\image-20201112144519051.png)]$

ioctl的初始化部分

__int64 __fastcall ioctl(__int64 fd, __int64 command)
{
     
  __int64 args1; // rdx
  __int64 info; // r13
  __int64 chunks; // rbx
  __int64 i; // rax
  __int64 can_use_id; // r12
  __int64 chunk_addr; // rax
  __int64 v9; // rdx
  __int64 edit_idx; // rax
  __int64 edit_chunk_ptr; // rsi
  __int64 v12; // rax
  __int64 idx; // rax
  __int64 free_chunk_ptr; // rdi

  _fentry__(fd, command);
  info = args1;
  chunks = kmem_cache_alloc_trace(kmalloc_caches[4], 0x6000C0LL, 16LL);
  copy_from_user(chunks, info, 16LL);

看的时候顺手函数名、便令名做修改，方便进行后面的分析

上来ioctl的给参数设备描述符*fd，运行命令0x6008之类的

第18行，申请内核chunk

第19行，把info也就是ioctl中传进来的第三个变量进行copy_from_user做个拷贝。

传进来的大小16个字节。

内核堆块释放部分
```
    case 0x6008:                                // free  函数
      idx = *(signed int *)(chunks + 8);
      if ( (unsigned int)idx <= 31 )
      {
        free_chunk_ptr = buf[idx];
        if ( free_chunk_ptr )
          kfree(free_chunk_ptr);
      }
      break;
```
第2行，说明传进来的结构体offset8处表示对块的索引，变量类型为__int64.

buf是一个全局的指针数组，用来存申请的内核指针。

第3-9行，当前索引不超过31时，寻找buf中idx处的指针，如果不为空，就释放掉。

函数调用功能部分

    case 0x6009:
      edit_idx = *(signed int *)(chunks + 8);
      if ( (unsigned int)edit_idx <= 31 )
      {
     
        edit_chunk_ptr = buf[edit_idx];
        if ( edit_chunk_ptr )
        {
     
          rax_value = *(_QWORD *)(edit_chunk_ptr + 64);
          _x86_indirect_thunk_rax(*(_QWORD *)(edit_chunk_ptr + 0x38), edit_chunk_ptr, 0x48LL);
        }
      }
      break;