ameetsaahu/kernel-exploitationЗаметки и скрипты по разработке эксплойтов для ядра Linux для заданий CTF, охватывающие извлечение initramfs, эксплуатацию msg_msg/ldt_struct и практические техники эксплуатации для повышения привилегий.
Извлечение файла из CPIO-архива
#!/bin/sh
mkdir fs
cd fs
cp ../initramfs.cpio.gz ./initramfs.cpio.gz
gunzip ./initramfs.cpio.gz
cpio -idm < ./initramfs.cpio
rm initramfs.cpio
cd ..
Скомпилируйте эксплойт, добавьте его в fs и запустите.
#!/bin/sh
gcc -w -o exploit -static exploit.c -pthread -lrt &&\
# musl-gcc -w -s -static -o3 exploit.c -o exploit -masm=intel &&\
mv exploit ./fs/ &&\
cd fs &&\
find . -print0 | cpio --owner root --null -ov --format=newc | gzip -9 > ../initramfs.cpio.gz &&\
cd .. &&\
# gunzip -f initramfs.cpio.gz &&\
./run.sh
В случае архива с файловой системой ext4
mount ./initramfs.cpio.gz ./fs/
Структура размером 0x20, не содержит проверок для вызова copy_to_user
struct msg_msg {
struct list_head m_list;
long m_type;
size_t m_ts; /* message text size */
struct msg_msgseg *next;
void *security;
/* the actual message follows immediately */
};
Пользовательское сообщение хранится сразу после структуры msg_msg вплоть до 0x1000 - 0x30; после этого идёт односвязный список блоков, хранящийся в struct msg_msgseg *next, с размером каждого выделения до 0x1000. Список завершается (и должен завершаться) значением NULL.
Для произвольного чтения:
перезапишите next и m_ts так, чтобы данные читались из перезаписанного указателя next.
Для произвольной записи:
msgsnd() // Userland
do_msgsnd() // Kernel land
load_msg()
alloc_msg() // Allocate all the necessary chunks
copy_from_user() // Race here to replace `struct msg_msgseg *next` before its used to copy userdata. Maybe use userfaultfd ;)
msg_msg do_msgsnd load_msg copy_msg
cpu_set_t cpu_set;
CPU_ZERO(&cpu_set);
CPU_SET(0,&cpu_set);
ret=sched_setaffinity(0,sizeof(cpu_set),&cpu_set);