使用kprobe监控linux内核提权(cred方法)

目录

ftrace使用kprobe相关命令

SU提权特征

SUID提权特征

漏洞利用提权特征

CVE-2021-22555(COMMIT_CRED方法)

利用成功

利用失败

---

ftrace使用kprobe相关命令

echo 'p:myprobe commit_creds uid=+4(%di):u32 gid=+8(%di):u32 suid=+12(%di):u32 sgid=+16(%di):u32 euid=+20(%di):u32 egid=+24(%di):u32 fsuid=+28(%di):u32 fsgid=+32(%di):u32' > /sys/kernel/debug/tracing/kprobe_events 


# 检查格式
cat /sys/kernel/debug/tracing/events/kprobes/myprobe/format

#启⽤
echo 1 > /sys/kernel/debug/tracing/events/kprobes/myprobe/enable

#查看结果
cat /sys/kernel/debug/tracing/trace

#禁⽤规则
echo 0 > /sys/kernel/debug/tracing/events/kprobes/myprobe/enable

#删除规则
echo '-:myprobe commit_creds' >> /sys/kernel/debug/tracing/kprobe_events