简介： 本故事依据Linux内核实在破绽改编。

原文链接

帝国危机

夜幕降临，清静褪去，忙碌的Linux帝国慢慢平静了下来，谁也没有想到，一场扭转帝国命运的风暴正在悄悄而至......

“咚咚！”，帝国安全部长办公室的敲门声，突破了夜晚的平静。
“部长，刚刚发现有线程在批改passwd文件”，原来是文件系统部门的小黑到访。

“这有什么少见多怪的？只有有root权限，这是容许的嘛！”，安全部长没有低头，持续看着每天的系统日志。
“部长，重点在于这线程不是从零碎调用进入内核，而是从中断入口进来的”
安全部长愣了一下，约莫0.2ms之后，放下了手里的日志，站了起来。
“你是说，他是通过中断描述符表（IDT）进来的？”
小黑点了拍板。

“小王，你连忙跟他过来IDT看一下，考察分明速来报我”，部长对着一旁的助理说到。
小王点了拍板，筹备登程，刚走到门口，又被部长叫住了。
“等等！此事非同小可，我还是亲自去一趟吧”

IDT批改谜案

安全部长随即登程，来到IDT所在的中央，这里所有如旧，未见有何同样。

部长指着这一排门墙问道：“他是从哪道门进来的？”
“4号”，这时，看管IDT大门的白发老头闻讯走了过去答复到。

“奇怪了，IDT表中的函数入口，都是帝国安顿好了的，讲道理没有哪一个会去批改passwd文件才对”，部长看着这些表项，抬头自语。

“部长，这我得跟您汇报一下，那小子进来之前，把第四项的入口地址高32位改成了0x00000000，进来之后他才给复原成了0xFFFFFFFF”，老头说完，拿出了IDT表项的结构图展了开来：

部长听完猛的一低头，“高32位变成了0x00000000，那整个函数入口地址不就指向了用户态地址空间了？”
小黑和小王都不敢谈话，大家都晓得这结果有多重大，天知道那家伙利用内核权限执行了用户空间的什么代码。
“不对，在他进来之前，一个用户空间的线程怎么能改IDT的内容呢？他没权限拜访才对，我不信！”
“这个我倒是晓得，他改的是时候，我顺便注意了一下他的调用堆栈，不是在用户空间，是从内核空间的函数——perf_swevent_init方向来的”，老头说到。

整数+1的喜剧

部长二话没说，又带着大家直奔perf_swevent_init函数而去。

“老伯，您可还记得具体是哪个地位？”，部长问到。
“就是从那个19行那个static_key_slow_inc函数过去的”

“让我看一下”，小王挤到后面来，想在部长背后露一手。
“嗯，这个static_key_slow_inc做的事件是把一个整数执行了原子+1操作。不过它操作的是perf_swevent_enabled数组，跟IDT八杆子打不到一块儿去，怎么能批改到IDT呢？”，小王摸了摸头，往后退了两步，瞧着是没看出什么问题。
“不见得！”，部长依然是紧锁着眉头，闭口说到，“你们看，它是通过event_id这个数字作为下标来拜访数组元素，要是这个event_id出错拜访越界，指向IDT，也不是没有可能啊！”
小王连忙扫了一眼event_id，随后便露出了悲观的表情，“不会的，第9行有查看，你看，超过8当前就会通不过查看”


线索在这里被切断了，原本指望在perf_swevent_init这个函数这里寻找IDT被批改之谜，看来要无功而返了。
人不知;鬼不觉，工夫曾经很晚了，部长一行决定先回去，再从长计议。
部长走了几步，见小王没有跟上来，便回头叫了他一声。
“部长请留步，我如同感觉哪里不太对劲”，小王此刻也皱起了眉头。
“你发现了什么？”，部长和小黑他们又走了回来。
“部长，你看第3行，这个event_id是一个int型的变量，也就是说这是一个有符号数。”，小王说到。
“有符号数怎么了？”，小黑也忍不住闭口问了。
“如果······”
“_如果event_id变成了一个正数，它将能越界拜访数组，并且还能通过第9行的大小查看！_”，没等小王说完，部长道破了玄机！
众人再一次将眼光汇集在了这个event_id上，打算看一下第三行给它赋值的event->attr.config是个什么来头。
首先是perf_event中的attr成员变量：

struct perf_event {  // ...  struct perf_event_attr attr;  // ...};

接着是perf_event_attr中的config成员变量：

struct perf_event_attr {  // ...  __u64 config;  // ...};

看到最初，部长和小王都倒吸了一口凉气，这config居然是个64位无符号整数，把它赋值给一个int型变量不出问题就怪了！
见大家都不谈话，小黑挠了挠头，弱弱的问到：“怎么了，你们怎么都不谈话，这有什么问题吗？”
小王把小黑拉到一边，“问题大了，你看我要是把一个值为0xFFFFFFFF的config赋值给event_id，event_id会变成什么？”
“负，负，负1？”

“没错，有符号数的最高位是用来标记正负的，如果这个config最高位为1，前面的位通过精心设计，不仅能瞒天过海骗过那里第9行的验证，还能将某个地位的数字进行一个原子+1操作。”，小王持续说道。
“不错嘛小王，有提高！”，不知何时部长也走了过去，被部长这么一夸，小王有些不好意思了。
“听了半天，不就是越界把某个中央的数加了1嘛，有什么大不了的？”，小黑一脸不屑的样子。
小王一听连连点头，“你可不要小瞧了这个加1的行为，要是加在某些敏感的中央，那可是要出小事的！“
小黑有些纳闷，“比如说呢？”
“比方记录中断和异样的处理函数的IDT，又比方记录零碎调用的sys_call_table，这些表中的函数地址都位于帝国内核空间，要是这个加1，加的不是他人，而是这些表中的函数地址，那可就麻烦了。”，小王持续说到。
“我听明确了，可是就算加个1，也应该不是什么大问题吧？”
小王叹了口气，“看来你还是不明确，我以这次被批改的IDT表为例，给大家再看一下表中的表项——中断描述符的格局”

“IDT中的中断/异样处理函数的地址不是一个残缺的64位，而是拆成了几局部，其中高32位我给大家红色标示进去了，在64位Linux帝国，内核空间的地址高32位都是0xFFFFFFFF，如果······”
“如果利用后面的event_id数组下标越界拜访，把这个中央原子+1，那就变成了0，对不对？”，小黑总算明确了。

水落石出


安全部长为小王的精彩剖析鼓起了掌，“不错不错，大家都很聪慧！事到如今，咱们来复盘一下吧！”

  • 第一步：精心设计一个config值，从应用层传入内核空间的perf_swevent_init函数
  • 第二步：利用帝国内核破绽，把一个64位无符号数赋值给一个int型变量，导致变量溢出为一个正数。
  • 第三步：利用溢出的event_id越界拜访perf_swevent_enabled，指向IDT的表项，将第四项中断处理函数的高32位进行原子+1
  • 第四步：批改后的中断处理函数指向了用户空间，提前在此安顿恶意代码
  • 第五步：应用层执行int 4汇编指令，触发4号中断，线程将进入内核空间，以至高权限执行提前安顿的恶意代码。

事件总算是上不着天;下不着地，安全部长回去之后便上报帝国总部，修复了此破绽，将event_id的类型从int修改为u64。
即便如此，部长的情绪却并没有轻松多少，未知的敌人曾经闯入帝国，它们是谁？做了什么？当初藏在哪里？一个又一个的问题还在一直在脑中闪现······
未完待续······

彩蛋

一个闷热的下午，风扇飞速的旋转，热得人喘不过气。
部长的办公室呈现了一个相熟的身影，走近一看原来是小马哥。
“部长，nginx公司又出事了”
预知后事如何，请关系后续精彩······

起源 | 编程技术宇宙
作者 | 轩辕之风