CVE-2019-2215(bad binder)를 Huawei P20lite(Android 8.0.0)로 포팅

설명

이 프로젝트는 Android 8.0.0 버전의 Huawei P20lite에서 CVE-2019-2215를 이용하는 익스플로잇입니다. 커널은 4.4.23 버전입니다.

이 취약점은 아마도 이 주제에 대해 가장 많이 문서화된 것(튜토리얼, 실제 물리적 폰에서의 실제 포팅)일 것이며, 저는 취약한 폰을 가지고 있기 때문에 Android 커널 익스플로잇을 배우기에 좋은 출발점입니다.

경고: 이 익스플로잇은 모든 SELinux 타입을 permissive로 만들기 때문에 다른 앱이 SELinux를 우회할 수 있게 할 수 있습니다.

설치

먼저 저장소를 클론합니다:

git clone https://github.com/willboka/CVE-2019-2215-HuaweiP20Lite.git
cd CVE-2019-2215-HuaweiP20Lite

CVE-2019-2215-HuaweiP20Lite 폴더에 setools-android를 클론하고 **libsepol(libsepol.a)**을 컴파일합니다. 다음 명령어를 사용합니다:

make libsepol

이것은 SELinux를 우회하는 데 필요합니다.

다음 명령으로 프로젝트를 빌드합니다:

make # or do: NDK_PROJECT_PATH=. ndk-build NDK_APPLICATION_MK=./Application.mk

바이너리는 libs/arm64-v8a 폴더에 있습니다.

다음을 사용하여 빌드하고 /data/local/tmp에 푸시합니다:

make push

사용법

CLI에서 cve-2019-2215 바이너리를 실행합니다(Termux 및 ADB로 테스트됨):

/data/local/tmp/cve-2019-2215 # from adb

SELinux 정책을 재설정하려면 재부팅하세요.

데모

링크

이 취약점을 익스플로잇하는 방법을 배우기 위해 사용한 링크입니다.

가상 기기에서 테스트

• Project Zero bad binder explanation: 취약점에 대한 설명과 PoC에서 이를 임의 읽기/쓰기 프리미티브로 만드는 방법.
• Android Kernel Exploitation: 취약점과 취약점 환경 설정을 더 깊이 설명하며 디버깅에 유용한 추가 자료가 있습니다(GDB 스크립트, sanitizer 사용).
• Tailoring CVE-2019-2215 to Achieve Root: Linux 커널 보안 기능을 우회하는 방법.

실제 기기에서 개발

• s8_2019_2215_poc: 익스플로잇 포팅의 실제 사례 - 여기에서 avc cache bypass를 사용했지만, 일부 커널 페이지를 읽을 때 커널 크래시가 발생해서 동일한 기법으로 심볼 항목을 얻을 수는 없었습니다. 대신 유출된 task_struct(fair_sched_class)에서 Kaslr의 영향을 받는 첫 번째 심볼로 Kaslr 오프셋을 추측했습니다.
• cve2019-2215-3.18: 이 익스플로잇이 실제로 가장 가깝습니다. 이 경우 binder_struct의 wait 필드 오프셋이 0xa8이기 때문입니다(그의 경우 0x98).