ADRENO GPU IOMMU DMA EXPLOIT

Tested under Nexus 6p (google/angler/angler:6.0.1/MMB29M/2431559:user/release-keys)

バグについて

2016年にBlackhat EUで議論されました。

エクスプロイトについて

IOMMU DMA書き込みにより、vdso.soがシェルコードで上書きされます。

そのため、/initが__kernel_clock_gettimeを実行した後、シェルコードが実行されます。

/initプロセスはその後、ルートシェルでコネクトバックします。

ログ

Reverse shell target: 127.0.0.1:4919
shellcode patch done
hook patch done
Waiting for reverse connect shell...
TERMINAL>>>
id
uid=0(root) gid=0(root) groups=0(root) context=u:r:init:s0

ヒント

エクスプロイトの前に、もし存在する場合は/data/local/tmp/xを削除してください。

待ち時間が長すぎる場合は、スマートフォンの設定内の「日付と時刻」オプションを開いてみてください。

他のデバイスへの移植

Adrenoのバージョンを確認してください。現在は4xx向けにビルドされています。

5xx以上の場合：

• cp_type3_packetの代わりにcp_type7_packetを使用してください
• IOCTL_KGSL_RINGBUFFER_ISSUEIBCMDSの代わりにIOCTL_KGSL_GPU_COMMANDを使用してください