Docs

[Kernel]ROP以及ret2usr

输入“/”快速插入

[Kernel]ROP以及ret2usr

好久没有写博客了，上一次学完house of apple之后把glibc的源码中关于堆块分配的内容看了一遍后基本就开始了我的kernel之旅，至此也算是从一个glibc做题家开始迈步走向更深层次更有意思的新道路。​

kernel的前置知识

操作系统（Operation System）

从本质上我们也可以把他看作是一个软件。主要作用便是调度系统资源、控制IO设备、操作网络与文件系统等。在我们寻常的glibc用户态pwn中，经常会遇见开了沙箱的题目，这时候我们会运用orw这种方法来获取flag，在orw的过程中就涉及了用户态和内核态的交互。我们对文件的读写操作就是通过操作系统来实现的。可以说OS是我们和硬件交互的中间商。​

kernel的分级保护域

用非常简洁的语言概括就是用户态是下属，需要递交报告（调用请求）给上级（OS），然后再由上级来分配资源。上级可以直接分配，但是下属不能越俎代庖，所以一般位于ring0的kernel能控制硬件设施，而一般运行在权限低的用户态程序是不能够直接调用内核的函数，也不能直接越过内核和硬件交互。​

使用 ring model这种分级是为了提升系统安全性，例如某个间谍软件作为一个在 Ring 3 运行的用户程序，在不通知用户的时候打开摄像头会被阻止，因为他位于权限低的区域，直接申请调用会被拒绝。​

进程运行态切换

即在正常运行的程序中，会经常有用户态和内核态的转变，因为在用户进程的运行中往往需要使用内核所提供的各种功能，例如我们上面所说的对文件的读写操作。在gdb动调中我们不难看到，在调用read后，我们会陷入内核态，等内核函数运行完毕后又会重新恢复到用户态，恢复的过程被称为着陆。​

用户态到内核态的方法有很多，异常，系统调用等等。

主要有以下过程：

1.
切换GS段寄存器​

2.
保存用户态栈帧信息​

3.
保存用户态寄存器信息​

同样在进行kernel pwn 的过程中，我们的目的是为了提权得到root权限，需要我们从内核态恢复到用户态​

•
swaps指令恢复用户态GS寄存器​

•
sysretq或者 iretq 恢复到用户空间​

保护机制

kernel的保护机制这里就不一一赘述了，主要讲解下我在学习下面例题过程中遇到的。​

KASLR

内核空间地址随机化，可以于glibc下绕过aslr的方法类比。leak 出基址后减去偏移即可。​

STACK PROTECTOR

和用户态的canary类似，用于检测是否存在栈溢出。内核中的 canary 的值通常取自 gs 段寄存器某个固定偏移处的值​

SMAP/SMEP

SMAP即管理模式访问保护，SMEP即管理模式执行保护（，这两种保护通常是同时开启的，用以阻止内核空间直接访问/执行用户空间的数据。为了防止ret2usr的发生（将内核空间的指令指针重定向至用户空间上构造好的提权代码）​
​

提权的方法：

执行：commit_creds(prepare_kernel_cred(NULL))。具体涉及了linux的设计理念，内核中管理进程的结构体等，就不在这里过多赘述。​

例题：qwb-2018-core

一道经典的kernel题目，漏洞点在于存在整数溢出，在从name中复制内容时会造成栈溢出。存在栈上读，可以泄露canary。​

题目分析：

启动脚本

qemu-system-x86_64 \​
-m 256M \​
-kernel ./bzImage \​
-initrd  ./core.cpio \​
-append "root=/dev/ram rw console=ttyS0 oops=panic panic=1 quiet kaslr" \​
-s  \​
-netdev user,id=t0, -device e1000,netdev=t0,id=nic0 \​
-nographic  \​

可以看到启动了kaslr，意味着我们需要leak出基地址，同时因为没有开启SMAP/SMEP，所以我们可以在内核访问用户态的数据和代码，从而实现ret2usr的攻击。（ps：ret2usr在kpti页表隔离出现后彻底沦为时代的眼泪）​

init脚本：

#!/bin/sh​
mount -t proc proc /proc​
mount -t sysfs sysfs /sys​
mount -t devtmpfs none /dev​
/sbin/mdev -s​
mkdir -p /dev/pts​
mount -vt devpts -o gid=4,mode=620 none /dev/pts​
chmod 666 /dev/ptmx​
cat /proc/kallsyms > /tmp/kallsyms​
echo 1 > /proc/sys/kernel/kptr_restrict​
echo 1 > /proc/sys/kernel/dmesg_restrict​
ifconfig eth0 up​
udhcpc -i eth0​
ifconfig eth0 10.0.2.15 netmask 255.255.255.0​
route add default gw 10.0.2.2 ​
insmod /core.ko​
​
poweroff -d 2000 -f &​
setsid /bin/cttyhack setuidgid 1000 /bin/sh​
echo 'sh end!\n'​
umount /proc​
umount /sys​
​
poweroff -d 0  -f​