استغلال ADRENO GPU IOMMU DMA

تم اختباره على Nexus 6p (google/angler/angler:6.0.1/MMB29M/2431559:user/release-keys)

حول الثغرة

تمت مناقشتها في 2016 عبر Blackhat EU

حول الاستغلال

مع عمليات كتابة iommu dma، يتم استبدال vdso.so بـ shellcode.

لذا بعد أن ينفذ /init __kernel_clock_gettime، يتم تنفيذ shellcode.

ثم تقوم عملية /init بالاتصال العكسي مع شل جذر.

السجلات

Reverse shell target: 127.0.0.1:4919
shellcode patch done
hook patch done
Waiting for reverse connect shell...
TERMINAL>>>
id
uid=0(root) gid=0(root) groups=0(root) context=u:r:init:s0

نصائح

احذف /data/local/tmp/x إن وجد قبل الاستغلال.

إذا كانت مدة الانتظار طويلة جدًا، حاول فتح خيارات "الوقت والتاريخ" داخل إعدادات هاتفك.

النقل إلى أجهزة أخرى

تحقق من إصدار adreno، حاليًا هو مبني لـ 4xx.

لـ 5xx وما فوق:

• استخدم cp_type7_packet بدلاً من cp_type3_packet
• استخدم IOCTL_KGSL_GPU_COMMAND بدلاً من IOCTL_KGSL_RINGBUFFER_ISSUEIBCMDS