Portierung von CVE-2019-2215 (bad binder) auf Huawei P20lite (Android 8.0.0)

Beschreibung

Dieses Projekt ist ein Exploit für CVE-2019-2215 auf dem Huawei P20lite mit Android 8.0.0. Der Kernel ist in Version 4.4.23.

Diese Schwachstelle ist wahrscheinlich die am besten dokumentierte (Tutorials, echter Port auf physischem Telefon) zu diesem Thema, und ich habe ein anfälliges Telefon, daher ist dies ein guter Ausgangspunkt, um Android-Kernel-Exploitation zu lernen.

Warnung: Der Exploit setzt alle SELinux-Typen auf permissive, sodass andere Apps SELinux umgehen könnten.

Installation

Klone zuerst das Repository :

git clone https://github.com/willboka/CVE-2019-2215-HuaweiP20Lite.git
cd CVE-2019-2215-HuaweiP20Lite

Klone setools-android in den Ordner CVE-2019-2215-HuaweiP20Lite und kompiliere libsepol (libsepol.a). Verwende den folgenden Befehl, um dies zu tun :

make libsepol

Es ist erforderlich, um SELinux zu umgehen.

Baue das Projekt mit dem folgenden Befehl :

make # or do: NDK_PROJECT_PATH=. ndk-build NDK_APPLICATION_MK=./Application.mk

Die Binärdatei befindet sich im Ordner libs/arm64-v8a.

Baue und übertrage mit folgendem Befehl nach /data/local/tmp :

make push

Verwendung

Starte die Binärdatei cve-2019-2215 von der Kommandozeile aus (getestet mit Termux und ADB) :

/data/local/tmp/cve-2019-2215 # from adb

Neustart, um die SELinux-Richtlinien zurückzusetzen.

Demo

Links

Links, die ich zum Lernen über die Ausnutzung dieser Schwachstelle verwendet habe.

Test auf virtuellen Geräten

• Project Zero bad binder Erklärung: Erklärung der Schwachstelle und wie man daraus eine beliebige Lese-/Schreib-Primitive im PoC macht.
• Android Kernel Exploitation: Erklärt die Schwachstelle und das Setup detaillierter und bietet Mehrwert beim Debuggen (GDB-Skripte, Verwendung von Sanitizern).
• Tailoring CVE-2019-2215 to Achieve Root: Methode zur Umgehung von Linux-Kernel-Sicherheitsfunktionen.

Entwicklung auf echtem Gerät

• s8_2019_2215_poc: Realer Fall des Portierens des Exploits – Ich verwende den AVC-Cache-Bypass von diesem, konnte aber leider nicht dieselbe Technik zum Ermitteln von Symboleinträgen verwenden, da ich Kernel-Abstürze beim Lesen einiger Kernel-Seiten erlebte. Stattdessen schätze ich den Kaslr-Offset vom ersten von Kaslr betroffenen Symbol in der geleakten task_struct (fair_sched_class).
• cve2019-2215-3.18: Dieser Exploit ist tatsächlich der nächste, da der Offset des wait-Feldes in binder_struct in diesem Fall 0xa8 beträgt (in seinem Fall 0x98).