EXPLOTACIÓN DE IOMMU DMA EN GPU ADRENO

Probado en Nexus 6p (google/angler/angler:6.0.1/MMB29M/2431559:user/release-keys)

Acerca del bug

Discutido en 2016 a través de Blackhat EU

Acerca del exploit

Con las escrituras de iommu dma, vdso.so se sobrescribe con shellcode.

Así que después de que /init ejecute __kernel_clock_gettime, el shellcode se ejecutará.

El proceso /init entonces se conecta de vuelta con un shell root.

Registros

Reverse shell target: 127.0.0.1:4919
shellcode patch done
hook patch done
Waiting for reverse connect shell...
TERMINAL>>>
id
uid=0(root) gid=0(root) groups=0(root) context=u:r:init:s0

Consejos

Elimina /data/local/tmp/x si existe antes del exploit.

Si el tiempo de espera es demasiado largo, intenta abrir las opciones de "Fecha y hora" dentro de la configuración de tu teléfono.

Portabilidad a otros dispositivos

Verifica la versión de adreno, actualmente está construido para 4xx.

Para 5xx y superior:

• usa cp_type7_packet en lugar de cp_type3_packet
• usa IOCTL_KGSL_GPU_COMMAND en lugar de IOCTL_KGSL_RINGBUFFER_ISSUEIBCMDS