TempRoot-Huawei

हुआवेई हार्डन्ड कर्नेल के लिए CVE-2019-2215 के माध्यम से अस्थायी रूट

यह कोड P20 Pro (CLT-AL00) के लिए लिखा गया है, और कर्नेल ऑफ़सेट निम्न बिल्ड फ़िंगरप्रिंट वाले फ़र्मवेयर से लिया गया है: 'HUAWEI/CLT-AL00/HWCLT:8.1.0/HUAWEICLT-AL00/176(C00):user/release-keys'

पृष्ठभूमि

सैमसंग के KNOX की तरह, हुआवेई ने हैकर्स से शोषण (exploit) रोकने और 'सुरक्षा' बेहतर करने के लिए कई तंत्र जोड़े हैं।

• DEBUG_SPINLOCK सक्षम किया गया है जो स्पिनलॉक पर अतिरिक्त जाँच जोड़ता है
• टास्क स्ट्रक्चर में कर्नेल स्टैक पॉइंटर को यादृच्छिक ऑफ़सेट kti_offset का उपयोग करके अस्पष्ट (obfuscate) किया गया है (जैसे KASLR)
• get_fs() या तो KERNEL_DS या USER_DS लौटाता है, current_thread_info()->addr_limit बदलने से काम नहीं चलेगा
• cred स्ट्रक्चर में uid/gid/capabilities को हाइपरवाइज़र (EL2) द्वारा संरक्षित किया गया है, यदि प्रक्रिया बिना commit_creds() का उपयोग किए रूट बनती है तो एक्सेस जाँच के दौरान तुरंत मार दी जाएगी
• CONFIG_SECURITY_SELINUX_DEVELOP सेट नहीं है, SeLinux को वैश्विक permissive स्थिति में नहीं रखा जा सकता
• कई महत्वपूर्ण चर init के बाद readonly होते हैं या हाइपरवाइज़र द्वारा संरक्षित होते हैं, जिनमें ss_initialized, policydb->permissive_map, security_hook_heads शामिल हैं

ये तंत्र पुराने हुआवेई उपकरणों का शोषण करना कठिन बनाते हैं, भले ही वे CVE-2019-2215 के प्रति संवेदनशील हों।

उपयोग

सबसे पहले, patch_system.c को कंपाइल करके चलाएँ, यह selinux मैपिंग को गड़बड़ करके और avc_ss_reset() को कॉल करके selinux को निष्प्रभावी कर देगा।

अगला, रूट शेल पाने के लिए poc.c को कंपाइल करके चलाएँ।

(वैकल्पिक) su डेमॉन को कंपाइल करें और उसे poc द्वारा प्रारंभ करें ताकि अन्य ऐप्स रूट का उपयोग कर सकें (देखें scripts/termux-boot)।

नोट्स

su डेमॉन https://github.com/corellium/sud से लिया गया है और संशोधित किया गया है।