请补上漏洞，付￥5

sisi8408

linux-2.6.20.7

1. 
   
2. static int wanpipe_rcv(struct sk_buff *skb, struct net_device *dev,
   
3.                        struct sock *sk)
   
4. {
   
5.         struct wan_sockaddr_ll * sll = (struct wan_sockaddr_ll *)skb->cb;
   
6.         wanpipe_common_t * chan = dev->priv;
   
7.         /*
   
8.          * When we registered the protocol,
   
9.          * we saved the socket in the data field for just this event.
   
10.          */
    
11.         skb->dev = dev;
    
12. 
    
13.         sll->sll_family = AF_WANPIPE;
    
14.         sll->sll_hatype = dev->type;
    
15.         sll->sll_protocol = skb->protocol;
    
16.         sll->sll_pkttype = skb->pkt_type;
    
17.         sll->sll_ifindex = dev->ifindex;
    
18.        
    
19.         sll->sll_halen = 0;
    
20.         if (dev->hard_header_parse)
    
21.                 sll->sll_halen = dev->hard_header_parse(skb, sll->sll_addr);
    
22. 
    
23.         /*
    
24.          * WAN_PACKET_DATA : Data which should be passed up the receive queue.
    
25.          * WAN_PACKET_ASYC : Asynchronous data like place call, which should
    
26.          *                   be passed up the listening sock.
    
27.          * WAN_PACKET_ERR  : Asynchronous data like clear call or restart
    
28.          *                   which should go into an error queue.
    
29.          */
    
30.         switch (skb->pkt_type) {
    
31.                 case WAN_PACKET_DATA:
    
32.                         if (sock_queue_rcv_skb(sk, skb) < 0) {
    
33.                                 return -ENOMEM;
    
34.                         }
    
35.                         break;
    
36.                
    
37.                 case WAN_PACKET_CMD:
    
38.                         sk->sk_state = chan->state;
    
39.                         /* Bug fix: update Mar6.
    
40.                          * Do not set the sock lcn number here, since
    
41.                           * cmd is not guaranteed to be executed on the
    
42.                          * board, thus Lcn could be wrong
    
43.                          */
    
44.                         sk->sk_data_ready(sk, skb->len);
    
45.                         kfree_skb(skb);
    
46.                         break;
    
47.                
    
48.                 case WAN_PACKET_ERR:
    
49.                         sk->sk_state = chan->state;
    
50.                         if (sock_queue_err_skb(sk,skb)<0){
    
51.                                 return -ENOMEM;
    
52.                         }
    
53.                         break;
    
54.                
    
55.                 default:
    
56.                         //at this case 就在这儿，呵呵
    
57.                         printk(KERN_INFO "wansock: BH Illegal Packet Type Dropping\n");
    
58.                         kfree_skb(skb);
    
59.                         break;
    
60.         }
    
61.         return 0;
    
62. }
    

复制代码

[ 本帖最后由 sisi8408 于 2007-8-10 23:00 编辑 ]

daemeon

kfree_skb(skb);位置不对?

sisi8408

再看看，暂时不能得￥5

[ 本帖最后由 sisi8408 于 2007-8-6 20:41 编辑 ]

daemeon

这个函数在2.6.22 中找不到了

不会是注释吧,

[ 本帖最后由 daemeon 于 2007-8-6 20:42 编辑 ]

sisi8408

不会是注释吧

no, of cough

[ 本帖最后由 sisi8408 于 2007-8-6 20:46 编辑 ]

sisi8408

"这个函数在2.6.22 中找不到了"
那么￥5付给谁？

daemeon

pkt_type只有3bit, 而WAN_PACKET_ERR是10

sisi8408

就事论事，漏洞与pkt_type无关，
但存在于贴出的代码中。

daemeon

为什么在default处, 你的意思是该返回错误?

2.6.22中的定义:
#define WAN_PACKET_DATA         7
#define WAN_PACKET_CMD                 8
#define WAN_PACKET_ASYNC        9
#define WAN_PACKET_ERR               10

struct sk_buff {
....
        __u8               pkt_type:3,
                                fclone:2,
                                ipvs_property:1;
....
}

[ 本帖最后由 daemeon 于 2007-8-6 21:00 编辑 ]

sisi8408

default 本为排错，但篱笆未匝牢。
攻击得手就有可能。

[ 本帖最后由 sisi8408 于 2007-8-6 21:04 编辑 ]