新爆内核高危漏洞sock_sendpage的利用分析的讨论

Godbach

试验了一把，通过/proc/kallsyms获取到printk的地址，然后就可以在kernel_code中调用了。打印的信息输出到日志里了

Godbach

原帖由 W.Z.T 于 2010-1-15 14:42 发表


顶， Godbach兄动作果然快， 赞~

应该多些W.Z.T兄的指点才对。

我用的是另外一个例程，exploit.c中添加

int (*printk)(const char *fmt, ...);

然后获得printk的地址

1.         printk = (int (*)(const char *fmt, ...))get_kernel_sym("printk");

复制代码

然后就可以调用printk了。

Godbach

原帖由 W.Z.T 于 2010-1-15 15:52 发表


这样其实可以把exp + rootkit一气呵成的写了， 呵呵

基本上可以调用内核里面所有导出的接口了。刚试了一下kerne_power_off，直接就把系统关机了。

Godbach

（这个 - 6是什么意思，大家指点一下）
在地址0x0处埋下代码kernel_code 函数，因为0x90 = nop, 0xe9 = jmp
上面代码可表示为在映射的地址0处，执行

查了一下手册。这里E9对应的jmp是相对跳转。也就是jmp 后面跟的操作数，应该是应跳转到的地址和当前下一条指令地址之间的差值。
当前jmp下一条指令的地址应该是6， 所以jmp后面的操作数应该是&kernel_code -6.
也就是*(unsigned long *)2 = &kernel_code -6

见intel的手册

E9 cw JMP rel16 A N.S. Valid
     Jump near, relative,displacement relative to next instruction. Not supported in 64-bit mode.
E9 cd JMP rel32 A Valid Valid
     Jump near, relative, RIP =RIP + 32-bit displacement sign extended to 64-bits

Godbach

        mem[0] = '\xff';
        mem[1] = '\x25';
        *(unsigned int *)&mem[2] = (sizeof(unsigned long) != sizeof(unsigned int)) ? 0 : 6;
        *(unsigned long *)&mem[6] = (unsigned long)&own_the_kernel;

另外一个例程使用的是绝对跳转，FF 25 是代表的JMP，但是这里mem[2]里面存储的int型数值是做什么呢？

Godbach

确实很久没见到kwest兄了