CVE-2016-5195 ("Dirty COW")

이 저장소는 부쿠레슈티 대학교 FMI의 "운영체제: 설계 및 보안" 과목을 위해 작성한 CVE-2016-5195(Linux 권한 상승 취약점)에 관한 논문과 발표 슬라이드를 포함합니다.

수정

제 논문에서 Dirty COW를 사용하여 탐지를 어렵게 만들기 위해 즉시 root로 권한 상승하지 않고 바이너리를 조용히 백도어할 수 있다고 주장했습니다.

이는 실제로 사실이 아닙니다. 수정된 페이지를 writeback하려고 할 때 커널이 페이지가 더티(dirty) 상태임(절대 그래서는 안 됨)을 감지하고 패닉(panic)을 일으켜 시스템을 충돌시키기 때문입니다.

이를 방지하려면 즉시 root로 권한 상승하고 "echo 0 > /proc/sys/vm/dirty_writeback_centisecs"로 자동 writeback을 비활성화해야 합니다. 제 개념 증명은 이를 수행하지 않으므로, VM에서 테스트할 때 /etc/passwd를 성공적으로 수정한 후(디스크에 영구 저장되지는 않음) 곧바로 충돌합니다.

https://www.exploit-db.com/exploits/40847 은 /etc/passwd를 덮어쓴 다음 writeback을 비활성화하여 충돌을 방지하는 익스플로잇 코드의 예입니다.

다른 방법으로는 파일 기반 페이지 대신 vDSO를 패치하는 방법(https://github.com/scumjr/dirtycow-vdso)이 있습니다. 이 방법은 시스템의 모든 프로세스에 영향을 미치며 충돌하지 않고, 컨테이너 탈출이 가능하다는 등의 다른 장점도 있으며, 공격을 위해 /etc/passwd를 읽기 전용으로 여는 것조차 막을 수 있는 SELinux 제한의 영향을 받지 않습니다.

root로 권한 상승한 후 시스템을 백도어할 수는 있지만(다른 모든 권한 상승 방법과 마찬가지로), 이는 일반적인 파일시스템 작업을 수반하며 침입 탐지 시스템에 탐지될 수 있습니다. 반면 writeback이 제가 원래 생각했던 대로 작동했다면, 커널이 write 시스템 콜 없이 페이지를 writeback하기만 하면 되므로 쓰기 작업 모니터링을 우회할 수 있었을 것입니다. 하지만 실제로는 그 대신 패닉이 발생합니다.