正文

Android系统内核漏洞利用技术入门

admin
admin V管理员 /0 评论 /219 阅读
0908
此篇文章发布距今已超过428天，您需要注意文章的内容或图片是否可用！

本文主要介绍Android内核利用入门，分析经典漏洞CVE-2015-3636 [0] ，主要介绍ret2dir利用思路。


漏洞分析

CVE-2015-3636是一个Linux 内核中的UAF漏洞，最初由fuzz工具Trinity发现，可利用此漏洞在安卓设备上提升权限，主要影响Android 4.4～5.1的设备，对应Linux上游内核版本3.4～4.1 [1]。

当socket(AF_INET, SOCK_DGRAM, IPPROTO_ICMP)创建socket之后，使用connect系统调用将会触发inet_dgram_connect函数处理用户请求：


int inet_dgram_connect(struct socket *sock, struct sockaddr *uaddr,
               int addr_len, int flags)
{
    struct sock *sk = sock->sk;

    if (addr_len < sizeof(uaddr->sa_family))
        return -EINVAL;
    if (uaddr->sa_family == AF_UNSPEC)
        return sk->sk_prot->disconnect(sk, flags);

               int addr_len, int flags)0
               int addr_len, int flags)1
               int addr_len, int flags)2
               int addr_len, int flags)3
               int addr_len, int flags)4

上述代码中，如果uaddr->sa_family == AF_UNSPEC，则调用sk->sk_prot->disconnect断开连接。对于ping的ICMP协议，disconnect函数指针为udp_disconnect函数：

               int addr_len, int flags)5
{
               int addr_len, int flags)7
               int addr_len, int flags)8
               int addr_len, int flags)9
{0

{2
{3
{4
{5
{6
{7
{8

    struct sock *sk = sock->sk;0
    struct sock *sk = sock->sk;1
    struct sock *sk = sock->sk;2
    struct sock *sk = sock->sk;3
    struct sock *sk = sock->sk;4
    struct sock *sk = sock->sk;5
               int addr_len, int flags)3

在上述代码中，如果sk->sk_userlocks & SOCK_BINDPORT_LOCK为0，则调用sk->sk_prot->unhash(sk)，对于ping的ICMP协议，unhash函数指针为ping_unhash：

    struct sock *sk = sock->sk;7
{
    struct sock *sk = sock->sk;9

0

1

2

3

4

5

6

7

8
    struct sock *sk = sock->sk;3
               int addr_len, int flags)3
    if (addr_len < sizeof(uaddr->sa_family))1

如ping_unhash代码所示，当参数sk，也就是ICMP的套接字被哈希时，会进入if判断，调用hlist_nulls_del。而hlist_nulls_del函数会将n->ppriv的值变为LIST_POSION2：

    if (addr_len < sizeof(uaddr->sa_family))2
{
    if (addr_len < sizeof(uaddr->sa_family))4
    if (addr_len < sizeof(uaddr->sa_family))5
               int addr_len, int flags)3

LIST_POISON2为宏定义的常量，在32位与64位都是0x200200。所以可以简单的理解为：hlist_nulls_del函数将ppriv的值写为0x200200，而且这个地址是我们可以从用户态映射的地址。

在第一次调用connect整体逻辑看起来都没问题，但在第二次调用connect时就出现了问题。在之前hlist_nulls_del函数删除掉套接字对象后，它仍然保持散列的状态，因为它是否处于散列状态取决于sk->sk节点，这个节点在第一次连接期间不会改变。所以会再次进入if判断调用hlist_nulls_del函数。而这一次执行 *ppriv = next 时将会导致内核崩溃，因为此时ppriv值为0x200200，如果这个地址没有被映射，那么就会出现严重的页错误导致内核崩溃。

在ping_unhash函数中，每次进入if分支，sock_put都会将对象的引用计数减一。另外，它还会检查引用计数是否为0，如果为0，sock对象将会被释放，而在第二次进入ping_unhash的if分支时，使用的就是被释放后的sock对象，因此是一个典型的UAF漏洞。sock_put函数逻辑如下：

    if (addr_len < sizeof(uaddr->sa_family))7
{
    if (addr_len < sizeof(uaddr->sa_family))9
        return -EINVAL;0
               int addr_len, int flags)3


利用思路

通过漏洞分析，得知可以使用两次connect来触发内核崩溃，因此可得如下PoC：

        return -EINVAL;2
        return -EINVAL;3
        return -EINVAL;4
        return -EINVAL;5
        return -EINVAL;6
        return -EINVAL;7
        return -EINVAL;8
        return -EINVAL;5
    if (uaddr->sa_family == AF_UNSPEC)0
    if (uaddr->sa_family == AF_UNSPEC)0