CVE-2019-2215 (खराब बाइंडर) को Huawei P20lite (Android 8.0.0) पर पोर्ट करना

विवरण

यह प्रोजेक्ट Huawei P20lite पर Android 8.0.0 संस्करण में CVE-2019-2215 के लिए एक शोषण है। कर्नेल संस्करण 4.4.23 में है।

यह कमजोरी संभवतः इस विषय पर सबसे अधिक दस्तावेजीकृत (ट्यूटोरियल, भौतिक फोन पर वास्तविक पोर्ट) है और मेरे पास एक कमजोर फोन है, इसलिए यह Android कर्नेल शोषण सीखने के लिए एक अच्छा प्रारंभिक बिंदु है।

चेतावनी: शोषण सभी SELinux प्रकारों को अनुमत बना देता है, इसलिए यह अन्य ऐप्स को SELinux को बायपास करने की अनुमति दे सकता है।

स्थापना

पहले रेपो को क्लोन करें:

git clone https://github.com/willboka/CVE-2019-2215-HuaweiP20Lite.git
cd CVE-2019-2215-HuaweiP20Lite

फ़ोल्डर CVE-2019-2215-HuaweiP20Lite में setools-android क्लोन करें और libsepol (libsepol.a) संकलित करें। ऐसा करने के लिए निम्नलिखित कमांड का उपयोग करें:

make libsepol

SELinux को बायपास करने के लिए यह आवश्यक है।

प्रोजेक्ट को निम्नलिखित कमांड का उपयोग करके बनाएं:

make # या करें: NDK_PROJECT_PATH=. ndk-build NDK_APPLICATION_MK=./Application.mk

बाइनरी फ़ोल्डर libs/arm64-v8a में है।

निम्नलिखित का उपयोग करके /data/local/tmp में बनाएं और पुश करें:

make push

उपयोग

बाइनरी cve-2019-2215 को CLI से लॉन्च करें (Termux और ADB के साथ परीक्षण किया गया):

/data/local/tmp/cve-2019-2215 # adb से

SELinux नीतियों को रीसेट करने के लिए रीबूट करें।

डेमो

लिंक

इस कमजोरी का शोषण सीखने के लिए मैंने जिन लिंक का उपयोग किया।

वर्चुअल डिवाइसों पर परीक्षण

• Project Zero bad binder व्याख्या: कमजोरी की व्याख्या और इसे PoC में एक मनमाना रीड/राइट प्रिमिटिव कैसे बनाया जाए।
• Android Kernel Exploitation: कमजोरी और इसके सेटअप की अधिक गहराई से व्याख्या करता है, और डिबगिंग पर अतिरिक्त मूल्य है (GDB स्क्रिप्ट, सैनिटाइज़र का उपयोग)।
• Tailoring CVE-2019-2215 to Achieve Root: Linux कर्नेल सुरक्षा सुविधाओं को बायपास करने की विधि।

वास्तविक डिवाइस पर डेवलपमेंट

• s8_2019_2215_poc: शोषण को पोर्ट करने का वास्तविक मामला - मैं इससे avc कैश बायपास का उपयोग करता हूं, लेकिन दुर्भाग्य से मैं प्रतीक प्रविष्टियां प्राप्त करने के लिए उसी तकनीक का उपयोग नहीं कर सका क्योंकि कुछ कर्नेल पेज पढ़ने पर कर्नेल क्रैश का अनुभव हुआ। इसके बजाय मैं लीक हुए task_struct (fair_sched_class) में पहले Kaslr प्रभावित प्रतीक से Kaslr ऑफसेट का अनुमान लगाता हूं।
• cve2019-2215-3.18: यह शोषण वास्तव में सबसे करीब है क्योंकि इस मामले में binder_struct में wait फ़ील्ड का ऑफसेट 0xa8 है (उनके मामले में 0x98)।