kernel ROP

basic knowledge

之前有一个点，root权限时的gid和uid为0

内核态提权到root，一般就是执行commit_creds(prepare_kernel_cred(0))；这两个函数原理就是分配一个新的cred结构，uid = 0，gid = 0。此时就是root权限
输入cat /proc/kallsyms可以查看他们的地址commit_creds和prepare_kernel_cred(0)都是内核函数


现在看一下2018年qwb的core，回顾一下之前的
start.sh：启动脚本，标明了启动的方法，保护措施等
core.cpio：打包的一个文件，解包以后里面有文件系统，其中以vmlinux命名的是内核的二进制文件，core.ko是存在漏洞的驱动，也就是题目分析中分析的二进制文件

bzlmage:镜像文件
vmlinux：相当于是libc
然后新建一个core文件夹find . | cpio -o --format=newc > ../rootfs
解压core以后把init中的id改成0，这样我们就可以以root权限来执行.sh脚本了
把上面哪一行poweroff删掉，就可以了
然后需要更改start.sh中的-m 为128M，64M太小了
这个core.ko就是有漏洞的程序，打开看一下

[*] '/home/ubuntu20/Desktop/2018qwbcore/core.ko'
    Arch:     amd64-64-little
    RELRO:    No RELRO
    Stack:    Canary found
    NX:       NX enabled
    PIE:      No PIE (0x0)

在ida里面看一下，首先

__int64 init_module()
{
   
  core_proc = proc_create("core", 438LL, 0LL, &core_fops);
  printk(&unk_2DE);
  return 0LL;
}

init module创建了i虚拟文件/proc/core，应用层通过该文件实现与内核的交互。

__int64 exit_core()
{
   
  __int64 result; // rax

  if ( core_proc )
    return remove_proc_entry("core");
  return result;
}

删除了proc/core

__int64 __fastcall core_ioctl(__int64 a1, int a2, __int64 a3)
{
   
  switch ( a2 )
  {
   
    case 1719109787:
      core_read(a3);
      break;
    case 1719109788:
      printk(&unk_2CD);
      off = a3;
      break;
    case 1719109786:
      printk(&unk_2B3);
      core_copy_func(a3);
      break;
  }
  return 0LL;
}

ioctl定义了三条命令：core_read(a3)，core_copy_func(a3)，还有一条是设置全局变量off

先看一下core_read：

unsigned __int64 __fastcall core_read(__int64 a1)
{
   
  char *v2; // rdi
  __int64 i; // rcx
  unsigned __int64 result; // rax
  char v5[64]; // [rsp+0h] [rbp-50h] BYREF
  unsigned __int64 v6; // [rsp+40h] [rbp-10h]

  v6 = __readgsqword(0x28u);
  printk(&unk_25B);
  printk(&unk_275);
  v2 = v5;
  for ( i = 16LL; i; --i )
  {
   
    *(_DWORD *)v2 = 0;
    v2 += 4;
  }
  strcpy(v5, "Welcome to the QWB CTF challenge.\n");
  result = copy_to_user(a1, &v5[off], 64LL);//key
  if ( !result )
    return __readgsqword(0x28u) ^ v6;
  __asm {
    swapgs }
  return result;
}

看到标key的代码，call read从read函数将栈上偏移off处的数据读取到用户态变量中，由上面可知，off变量可以控制，就是可以将栈上任意偏移处的数据读取到用户态变量中，程序开启了canary保护，只要控制了off，这里可以泄漏canary值。
core_copy_func函数：

__int64 __fastcall core_copy_func(__int64 a1)
{
   
  __int64 result; // rax
  _QWORD v2[10]; // [rsp+0h] [rbp-50h] BYREF

  v2[8] = __readgsqword(0x28u);
  printk(&unk_215);
  if ( a1 > 63 )
  {
   
    printk(&unk_2A1);
    return 0xFFFFFFFFLL;
  }
  else
  {
   
    result = 0LL;
    qmemcpy(v2, &name, (unsigned __int16)a1);
  }
  return result;
}

把name传入V2这里存在整数溢出，传进来的长度是一个有符号数，也就是一个大的数就是-1，但是qmemcpy出来的时候是一个无符号数，传入的负数就是一个很大的数
core_write函数可以对全局变量name进行写操作，从用户空间拷贝到内核空间。
core_write

__int64 __fastcall core_write(__int64 a1, __int64 a2, unsigned __int64 a3)
{
   
  printk(&unk_215);
  if ( a3 <= 0x800 && !copy_from_user(&name, a2, a3) )
    return (unsigned int)a3;
  printk(&unk_230);
  return 4294967282LL;
}

从用户空间拷贝过来，把a2拷贝到name，core_write函数会设置name值，name在bss段，rop可以从这里传入，先保存到bss段中，然后core_copy_func函数将其拷贝到内核栈上。

思路：
core_ioctl+core_read控制off值，泄露canary
core_write在name中构造rop
core_copy_func把rop传回给内核
通过 rop 执行 commit_creds(prepare_kernel_cred(0))
返回用户态，通过 system("/bin/sh") 等起 shell

启动qemu，在qemu中查看/proc/kallsyms中的 commit_creds 函数地址

调试

调式：
启动gdb ./vmlinux进行调试，这样虽然加载了kernel的符号表，但是没有加载驱动的符号表add-symbol-file core.ko textaddr加载

[    0.028753] Spectre V2 : Spectre mitigation: LFENCE not serializing, switchie
udhcpc: started, v1.26.2
udhcpc: sending discover
udhcpc: sending select for 10.0.2.15
udhcpc: lease of 10.0.2.15 obtained, lease time 86400
/ # cat /sys/module/core/sections/.tex