PS5 3.xx / 4.xx कर्नेल एक्सप्लॉइट

---

सारांश

इस रिपॉजिटरी में PS5 कर्नेल एक्सप्लॉइट का एक प्रायोगिक WebKit ROP कार्यान्वयन है, जो TheFlow के IPV6 Use-After-Free (UAF) पर आधारित है, जिसे HackerOne पर रिपोर्ट किया गया था। एक्सप्लॉइट रणनीति अधिकांशतः TheFlow के BSD/PS4 PoC पर आधारित है, जिसमें PS5 की परेशान करने वाली मेमोरी लेआउट को समायोजित करने के लिए कुछ बदलाव किए गए हैं (अधिक जानकारी के लिए Research Notes अनुभाग देखें)। यह arbitrary read / (semi-arbitrary) write primitive स्थापित करता है। इस एक्सप्लॉइट और इसकी क्षमताओं की बहुत सी सीमाएँ हैं, और इस कारण, यह मुख्यतः डेवलपर्स के लिए है ताकि वे सिस्टम के कुछ हिस्सों को रिवर्स इंजीनियर करने के लिए इसके साथ खेल सकें।

नवीनतम स्थिरता सुधारों के साथ, विश्वसनीयता लगभग 80% है। यह दस्तावेज़ PS5 के बारे में शोध जानकारी शामिल करेगा, और यह एक्सप्लॉइट समय के साथ निरंतर विकास और सुधार से गुज़रेगा।

PS5 शोध/विकास में योगदान देने में रुचि रखने वाले लोग मेरे द्वारा सेट किए गए डिस्कॉर्ड में शामिल हो सकते हैं यहाँ।

एक्सप्लॉइट को अब निम्नलिखित फर्मवेयर का समर्थन करना चाहिए:

• 3.00
• 3.10
• 3.20
• 3.21
• 4.00
• 4.02
• 4.03
• 4.50
• 4.51

वर्तमान में शामिल

• arbitrary read/write प्राप्त करता है और रीड/राइट के लिए एक बुनियादी RPC सर्वर (या बड़े रीड के लिए एक डंप सर्वर) चला सकता है (exploit फ़ाइल में लाइन 673-677 पर अपना स्वयं का पता/पोर्ट संपादित करना होगा)
• डिबग सेटिंग्स मेनू सक्षम करता है (नोट: इसे देखने के लिए आपको सेटिंग्स से पूरी तरह बाहर निकलकर वापस जाना होगा)।
• रूट विशेषाधिकार प्राप्त करता है

सीमाएँ

• यह एक्सप्लॉइट read/write प्राप्त करता है, लेकिन कोड निष्पादन नहीं। ऐसा इसलिए है क्योंकि हम वर्तमान में गैजेट्स के लिए कर्नेल कोड डंप नहीं कर सकते, क्योंकि कर्नेल .text पेज eXecute Only Memory (XOM) के रूप में चिह्नित होते हैं। कर्नेल .text पॉइंटर्स को पढ़ने का प्रयास पैनिक का कारण बनेगा!
• उपरोक्त + हाइपरवाइज़र (HV) द्वारा कर्नेल राइट प्रोटेक्शन को लागू करने के कारण, यह एक्सप्लॉइट कर्नेल स्पेस में कोई पैच या हुक स्थापित नहीं कर सकता, जिसका अर्थ है कि फ़िलहाल कोई होमब्रू-संबंधित कोड नहीं है।
• Clang-आधारित fine-grained Control Flow Integrity (CFI) मौजूद है और लागू है।
• Supervisor Mode Access Prevention/Execution (SMAP/SMEP) को HV के कारण अक्षम नहीं किया जा सकता।
• राइट प्रिमिटिव कुछ हद तक सीमित है, क्योंकि बाइट्स 0x10-0x14 शून्य (या एक मान्य नेटवर्क इंटरफ़ेस) होने चाहिए।
  • हालाँकि पाइप्स का उपयोग करने वाले नए कार्य के कारण, अब पूर्ण arbitrary read/write संभव है

उपयोग कैसे करें

1. dns.conf के माध्यम से fakedns को कॉन्फ़िगर करें ताकि manuals.playstation.net आपके PC के IP पते की ओर इंगित करे
2. फर्जी DNS चलाएँ: python fakedns.py -c dns.conf
3. HTTPS सर्वर चलाएँ: python host.py
4. PS5 की उन्नत नेटवर्क सेटिंग्स में जाएँ और प्राथमिक DNS को अपने PC के IP पते पर सेट करें और द्वितीयक को 0.0.0.0 पर छोड़ दें
   1. कभी-कभी मैनुअल फिर भी लोड नहीं होगा और रीस्टार्ट की आवश्यकता होती है, यह वास्तव में अजीब है, सुनिश्चित नहीं क्यों
5. सेटिंग्स में उपयोगकर्ता मैनुअल पर जाएँ और अविश्वसनीय प्रमाणपत्र संकेत को स्वीकार करें, चलाएँ
6. वैकल्पिक: rpc/dump सर्वर स्क्रिप्ट चलाएँ (नोट: पता/पोर्ट को बाइनरी रूप में exploit.js में प्रतिस्थापित किया जाना चाहिए)।

भविष्य का कार्य

• ब्राउज़र से साफ-साफ बाहर निकलने के लिए सॉकेट्स को ठीक करना (शीर्ष प्राथमिकता)
• कुछ डेटा पैच लिखना (दूसरी प्राथमिकता)
  • डिबग सेटिंग्स सक्षम करें
  • uid0 के लिए creds पैच करें
  • cr_prison overwrite के साथ जेलब्रेक
• UAF विश्वसनीयता में सुधार
• पीड़ित सॉकेट विश्वसनीयता में सुधार (तीसरी प्राथमिकता)
• kqueue से बेहतर / अधिक सुसंगत लीक लक्ष्य का उपयोग करें (अब आवश्यक नहीं)
• ELF लोडर को रिलोकेशन का समर्थन करना
  • अधिक रिलोकेशन और संभवतः पूर्ण डायनेमिक लिंकेज के लिए समर्थन जोड़ें?

ELF लोडर का उपयोग करना

ELF लोडर का उपयोग करने के लिए, एक्सप्लॉइट को पूर्ण होने तक चलाएँ। पूर्ण होने पर यह पोर्ट :9020 पर एक सर्वर चलाएगा। कनेक्ट करें और अपना ELF उस पोर्ट पर PS5 को भेजें और यह इसे चलाएगा। यदि ELF ब्राउज़र को क्रैश नहीं करता है, तो यह हमेशा के लिए ELF चलाना जारी रख सकता है।

एक्सप्लॉइट चरण

यह एक्सप्लॉइट 5 चरणों में काम करता है, और अधिकांशतः theflow के poc की समान एक्सप्लॉइट रणनीति का अनुसरण करता है।

1. ip6_pktopts पर प्रारंभिक UAF ट्रिगर करें और दो सॉकेट्स को समान pktopts / overlap की ओर इंगित करें (मास्टर सॉकेट <-> overlap स्प्रे सॉकेट)
2. मास्टर सॉकेट पर pktopts को मुक्त करें और इसे एक टैग किए गए tclass overlap युक्त ip6_rthdr स्प्रे के साथ फर्जी बनाएँ।
3. Infoleak चरण। 0x200 slab से kqueue और 0x100 slab से pktopts लीक करने के लिए pktopts/rthdr overlap का उपयोग करें।
4. Arbitrary read/write चरण। pktopts को फिर से फर्जी बनाएँ और overlap सॉकेट ढूँढें ताकि IPV6_RTHDR को read/write प्रिमिटिव के रूप में उपयोग किया जा सके।
5. क्लीनअप + पैच चरण। सफल ब्राउज़र निकास के लिए दूषित सॉकेट्स पर refcount बढ़ाएँ + डिबग मेनू सक्षम करने के लिए डेटा पैच करें और uid0 के लिए ucreds पैच करें।
6. ELF लोडर सर्वर चलाएँ जो ELF को स्वीकार करेगा और लोड/चलाएगा। वर्तमान में WIP, फिलहाल रिलोकेशन का समर्थन नहीं करता।

स्थिरता नोट्स

इस एक्सप्लॉइट की स्थिरता लगभग 30% 80-90% है, और इसमें दो संभावित विफलता बिंदु हैं। देखी गई घटती संभावना के क्रम में:

1. चरण 1 UAF को पुनः प्राप्त करने में विफल रहता है, जिससे तत्काल क्रैश या अव्यक्त भ्रष्टाचार होता है जो क्रैश का कारण बनता है।
2. चरण 4 एक पीड़ित सॉकेट खोजने में विफल रहता है

शोध नोट्स

• विभिन्न परीक्षणों और रीड प्रिमिटिव के साथ डंपिंग के आधार पर ऐसा प्रतीत होता है कि PS5 PS4 के 0x4000 की तुलना में 0x1000 पेज आकार पर वापस आ गया है।

  • आगे के शोध के बाद, पेज आकार वास्तव में अभी भी 0x4000 है, हालाँकि कुछ पागल करने वाले आवंटक परिवर्तनों के कारण, विभिन्न स्लैब एक ही वर्चुअल पेज में आवंटित किए जा सकते हैं।

• ऐसा भी लगता है कि PS5 पर आसन्न पेज शायद ही कभी एक ही स्लैब के होते हैं, क्योंकि आसन्न पेजों में आपको बहुत भिन्न डेटा मिलेगा। मेमोरी लेआउट अधिक बिखरा हुआ लगता है।

• अक्सर जब PS5 पैनिक करता है (कम से कम webkit संदर्भ में), भयानक ऑडियो आउटपुट होगा क्योंकि ऑडियो बफर किसी तरह से दूषित हो जाता है।

• कभी-कभी यह ऑडियो भ्रष्टाचार अगले बूट तक बना रहता है, सुनिश्चित नहीं क्यों।

• PS4 के समान, PS5 को पैनिक के बाद पुनः आरंभ करने के लिए कंसोल पर पावर बटन को दो बार मैन्युअल रूप से दबाने की आवश्यकता होगी।

• यह सामान्य है कि PS5 को पैनिक से रिबूट होने में बहुत अधिक समय लगता है यदि यह इंटरनेट से अलग है (दुर्भाग्यवश)। बूट में 3-4 मिनट लगने की उम्मीद करें।

योगदानकर्ता / विशेष धन्यवाद

• Andy Nguyen / theflow0 - भेद्यता और एक्सप्लॉइट रणनीति
• ChendoChap - परीक्षण और शोध में विभिन्न सहायता
• Znullptr - शोध/RE
• sleirsgoevy - शोध/RE + एक्सप्लॉइट रणनीति विचार
• bigboss - शोध/RE
• flatz - शोध/RE + पैच में सहायता
• zecoxao - शोध/RE
• SocracticBliss - शोध/RE
• laureeeeeee - पृष्ठभूमि निम्न-स्तरीय सिस्टम ज्ञान और सहायता

परीक्षकों के लिए धन्यवाद

• Dizz (4.50/4.51)