提权姿势modprobe_path修改文件权限

HNHuangJingYu

已于 2022-05-02 20:24:15 修改

阅读量597

点赞数

CC 4.0 BY-SA版权

分类专栏： linux pwn-kernel 文章标签： linux

于 2022-05-02 20:20:11 首次发布

本文链接：https://blog.youkuaiyun.com/csdn546229768/article/details/124546007

linux 同时被 2 个专栏收录

13 篇文章

订阅专栏

pwn-kernel

9 篇文章

订阅专栏

最近看内核exp时候一些题目的另一种解法可以通过modprobe_path方式读取flag，好像挺好玩的

定义

在内核运行一个未知类型的文件时，modprobe_path就会指向这个未知文件，当内核运行一个错误格式的文件后，内核会自动调用这个modprobe_path指向的文件，因为内核执行的权限是root权限，当我们将modprobe_path指向一个我们用于查看具有root权限的flag文件，那么就能得到flag

//源码定义如下：kernel/kmod.c
char modprobe_path[KMOD_PATH_LEN] = "/sbin/modprobe";

实际调用如下：

//linux4.4.7 /kernel/kmod.c
static int call_modprobe(char *module_name, int wait)
{
	struct subprocess_info *info;
	static char *envp[] = {
		"HOME=/",
		"TERM=linux",
		"PATH=/sbin:/usr/sbin:/bin:/usr/bin",
		NULL
	};

	char **argv = kmalloc(sizeof(char *[5]), GFP_KERNEL);
	if (!argv)
		goto out;

	module_name = kstrdup(module_name, GFP_KERNEL);
	if (!module_name)
		goto free_argv;

	argv[0] = modprobe_path;
	argv[1] = "-q";
	argv[2] = "--";
	argv[3] = module_name;	/* check free_modprobe_argv() */
	argv[4] = NULL;

	info = call_usermodehelper_setup(modprobe_path, argv, envp, GFP_KERNEL,
					 NULL, free_modprobe_argv, NULL);
	if (!info)
		goto free_module_name;

	return call_usermodehelper_exec(info, wait | UMH_KILLABLE); 
  //启动用户模式应用程序  info结构体里面包含了子进程信息和modprobe_path

free_module_name:
	kfree(module_name);
free_argv:
	kfree(argv);
out:
	return -ENOMEM;
}

使用

/ $ cat /proc/kallsyms | grep modprobe_path #不一定会有
ffffffff81e476e0 D modprobe_path

符号里面没有 modprobe_path 地址的时候可以通过一些函数的引用来找

比如__request_module

通过shell命令（开启保护后需要root身份）：grep __request_module /proc/kallsyms查看汇编即可得到字符串地址

/ $ grep __request_module /proc/kallsyms #user
0000000000000000 T __request_module
0000000000000000 t __request_module.cold.4
/ # grep __request_module /proc/kallsyms  #root
ffffffff810833e0 T __request_module #addr
ffffffff8108378b t __request_module.cold.4

通过gef插件：（不用root身份就可以查看）

gef➤  xinfo __request_module
────────────────────────────────── xinfo: 0xffffffff810833e0──────────────────────────────────
Page: 0x00000000000000  →  0xffffffffffffffff (size=0xffffffffffffffff)
Permissions: rwx
Pathname: /home/hnhuangjingyu/kernel/SUCTF2019_sudrv/vmlinux
Offset (from page): 0xffffffff810833e0  //得到的地址
Inode: 0
Segment: .text (0xffffffff81000000-0xffffffff81c01781)
Offset (from segment): 0x833e0
Symbol: __request_module

这里直接使用gef进行观察

gef➤  x/30i __request_module
   0xffffffff810833e0 <__request_module>:	push   rbp
   0xffffffff810833e1 <__request_module+1>:	mov    rbp,rsp
   0xffffffff810833e4 <__request_module+4>:	push   r15
   0xffffffff810833e6 <__request_module+6>:	push   r14
//。。。。忽略。。。。。。。
   0xffffffff81083425 <__request_module+69>:	jne    0xffffffff810835a6 <__request_module+454>
   0xffffffff8108342b <__request_module+75>:	xor    r15d,r15d
   0xffffffff8108342e <__request_module+78>:	cmp    BYTE PTR [rip+0x11beeeb],0x0        # 0xffffffff82242320  //在这里！！！
   0xffffffff81083435 <__request_module+85>:	jne    0xffffffff8108345e 
   
 -------------------- -------------------- -------------------- --------------------
gef➤  strings 0xffffffff82242320
0xffffffff82242320:	"/sbin/modprobe"
0xffffffff8224232f:	""
0xffffffff82242330:	""

那么就得到了modprobe_path = 0xffffffff82242320

mod_tree

mod_tree这个内核指针里面包含了模块指针的内存地址。通过它可以获取到ko文件的地址

/sbin # cat /proc/kallsyms | grep mod_tree
ffffffff811043e0 t __mod_tree_remove
ffffffff81105b00 t __mod_tree_insert
ffffffff81e09200 d mod_tree

使用实例：

题目2019 suctf sudrv -> https://blog.youkuaiyun.com/csdn546229768/article/details/124367307