zergRush (CVE-2011-3874) 提权漏洞分析

zergRush (CVE-2011-3874) 提权漏洞分析转战Android试水老洞,zergRush(CVE-2011-3874)ROOT提权漏洞原理的技术分析。

大家好,又见面了,我是你们的朋友全栈君。

最近(终于)转Android了,2011年著名的zergrush是接触的第一个ROOT漏洞。虽然它已经过气了,只影响Android 2.2 – 2.3.6,但觉得还是有必要记录一下分析所得。

市面上各种ROOT工具基本都包含zergrush,大多是开源的zergRush.c直接编译而来。已有的分析文章:

  tomken_zhang,漏洞 — zergRush漏洞 — zergRush (补充)

  Claud, Android提权代码zergRush分析

分析内容集中在zergRush.c的代码结构上,对漏洞原理没有解析,或者错误地认为是栈溢出。其实CVE-2011-3874已经描述得很明白,这个漏洞的本质是”use after free”。

1. 栈溢出?No.

漏洞存在于/system/bin/vold这个root身份的系统程序。具体地,vold调用了libsysutils.so,真正有问题的是这个so。再具体地,问题出在/system/core/libsysutils/src/FrameworkListener.cpp的FrameworkListener::dispatchCommand方法。

它在栈上分配了一个固定大小的数组argv,

void FrameworkListener::dispatchCommand(SocketClient *cli, char *data) {
    FrameworkCommandCollection::iterator i;
    int argc = 0;
    char *argv[FrameworkListener::CMD_ARGS_MAX];
    char tmp[255];
    char *p = data;
    char *q = tmp;
    bool esc = false;
    bool quote = false;
    int k;

 FrameworkListener::CMD_ARGS_MAX = 16。但后面填充argv数组时,代码并没有检查是否发生了越界。

        if (!quote && *q == ' ') {
            *q = '
 if (!quote && *q == ' ') { *q = '\0'; argv[argc++] = strdup(tmp); memset(tmp, 0, sizeof(tmp)); q = tmp; continue; }
'; argv[argc++] = strdup(tmp); memset(tmp, 0, sizeof(tmp)); q = tmp; continue; }

让argv越界是很容易的,越界的数据会被写入argv下面的tmp数组中。zergRush实际上只是向argv中填充了CMD_ARGS_MAX + 2个char *,越界了8字节而已,255字节的tmp数组完全接得住,并没有破坏dispatchCommand的栈。其实,就算dispatchCommand的栈溢出了,也没什么事,因为它被编译进了__stack_chk,一旦返回地址改变,会异常结束。所以,这个漏洞不是“栈溢出”。

2. free(任意地址)

用户程序向system/bin/vold发送的数据会到达FrameworkListener::onDataAvailable。onDataAvailable会从数据中提取命令字符串,并调用dispatchCommand处理命令。用户数据可能包含多条命令,每条命令是一个以’\0’结尾的字符串,由名称和若干参数构成,名称和参数由空格分隔。例如,

"cmd1 arg11 arg12
"cmd1 arg11 arg12\0cmd2 arg21 arg22 arg23\0"
cmd2 arg21 arg22 arg23
"cmd1 arg11 arg12\0cmd2 arg21 arg22 arg23\0"
"

这样的数据进入onDataAvailable后,会提取出2条命令字符串:”cmd1 arg11 arg12″ 和 “cmd2 arg21 arg22 arg23″,对每条命令调用一次dispatchCommand。dispatchCommand接收到命令字符串后,会进一步解析出命令名称和参数,并存入argv数组。比如,对于”cmd1 arg11 arg12″,dispatchCommand完成解析后,

argv[0] == "cmd1";
argv[1] == "arg11";
argv[2] == "arg12";

 名称和每个参数,最初都是解析到tmp中,argv的每个字符串指针都是strdup(tmp)出来的,在dispatchCommand返回前要free掉,

    int j;
    for (j = 0; j < argc; j++)
        free(argv[j]);

这是一个很正常的逻辑,但在argv数组越界,与tmp发生交叠的情况下,有意思的事情就发生了。假设有一条命令带有17个参数,

"cmd p1 p2 p3 p4 p5 p6 p7 p8 p9 p10 p11 p12 p13 p14 p15 p16 \x78\x56\x34\x12"

 解析后,argv数组的内容是:

argv[0] == "cmd";
argv[1] == "p1";
argv[2] == "p2";
argv[3] == "p3";
argv[4] == "p4";
argv[5] == "p5";
argv[6] == "p6";
argv[7] == "p7";
argv[8] == "p8";
argv[9] == "p9";
argv[10] == "p10";
argv[11] == "p11";
argv[12] == "p12";
argv[13] == "p13";
argv[14] == "p14";
argv[15] == "p15";
argv[16] == 0x12345678;
argv[17] == "\x78\x56\x34\x12";

argv数组大小只有16项,argv[16]实际上是tmp数组的前4个字节,而最后一个参数是”\x78\x56\x34\x12″,它被解析出来后缓存到tmp里,这样tmp的前4字节就成了0x78,0x56, 0x34, 0x12 ,因此argv[16]==0x12345678。之后,argv[16]被free,即执行了free(0x12345678)。我们可以任意控制参数内容,即可实现:free(任意地址)。

3. 指针复用和vtable覆盖

能够free掉任意指针了,如何实现exploit呢?最简单的办法是free掉一个带vtable的C++对象指针,然后重用这个指针,从而控制vtable。很幸运的是,dispatchCommand的代码逻辑支持这么做。它会对比接收到的命令和已注册的FrameworkCommand,如果匹配,就去运行匹配的FrameworkCommand。

    for (i = mCommands->begin(); i != mCommands->end(); ++i) {
        FrameworkCommand *c = *i;

        if (!strcmp(argv[0], c->getCommand())) {
            if (c->runCommand(cli, argc, argv)) {
                SLOGW("Handler '%s' error (%s)", c->getCommand(), strerror(errno));
            }
            goto out;
        }
    }

runCommand是FrameworkCommand的virtual方法,FrameworkCommand对象指针就是要free掉然后复用的目标。mCommands是FrameworkListener的成员,它包含了若干FrameworkCommand对象指针,如果知道了FrameworkListener *this,寻址到FrameworkCommand不在话下,这也是zergRush.c的heap_oracle() 做的事情。

假设我们成功free掉了一个FrameworkCommand指针,怎样复用这个指针呢?只需要再调用dispatchCommand解析一条命令,在解析过程中,第一次strdup(tmp)返回的就是这个指针,并且已经把tmp字符串复制到这个地址了。即:命令的前4个字节已经成为这个FrameworkCommand对象的vtable,实现了vtable的任意指定。观察上面C++代码对应的汇编:

.text:000029F6                 LDR.W           R6, [R8]
.text:000029FA                 MOV             R0, R10 ; s1
.text:000029FC                 LDR             R1, [R6,#4] ; s2
.text:000029FE                 BLX             strcmp
.text:00002A02                 CBNZ            R0, loc_2A38
.text:00002A04 LDR R0, [R6] ;R0 = vtable
.text:00002A06                 MOV             R1, R5
.text:00002A08                 MOV             R2, R4
.text:00002A0A                 MOV             R3, R7
.text:00002A0C                 LDR.W           R12, [R0,#8] ;R12 = runCommand
.text:00002A10                 MOV             R0, R6
.text:00002A12 BLX R12 ;Call runCommand
.text:00002A14                 CBZ             R0, loc_2A50
.text:00002A16                 LDR             R5, [R6,#4]
.text:00002A18                 BLX             __errno
.text:00002A1C                 LDR             R0, [R0] ; errnum
.text:00002A1E                 BLX             strerror
.text:00002A22                 LDR             R2, =(aFrameworkliste - 0x2A2E)
.text:00002A24                 LDR             R3, =(aHandlerSErrorS - 0x2A30)
.text:00002A26                 MOVS            R1, #5
.text:00002A28                 STR             R5, [SP,#0x484+var_484]
.text:00002A2A                 ADD             R2, PC  ; "FrameworkListener"
.text:00002A2C                 ADD             R3, PC  ; "Handler '%s' error (%s)"
.text:00002A2E                 STR             R0, [SP,#0x484+var_480]
.text:00002A30                 MOVS            R0, #3
.text:00002A32                 BLX             __android_log_buf_print
.text:00002A36                 B               loc_2A50

调用runCommand,实际是调用了[vtable + 8]。比如第二次传给dispatchCommand的命令是”AAAA blablabla”,vtable会被覆盖成0x41414141,PC将被指向 [0x41414149]。至此,已经成功的控制了指令流,剩下的就是构造攻击数据的奇淫技巧了,比如ROP等,和漏洞本身没有直接关系了。zergRush.c成功地调用system()执行任意命令,达到了ROOT的目的。

4. 总结

CVE-2011-3874这个漏洞源于栈上的数组越界,用户程序通过向/system/bin/vold发送一段包含2条特殊命令的数据,可以控制root身份的vold执行system(),借以提权。用户数据中的第1条命令会free掉一个FrameworkCommand对象;而第2条命令会重新占用对象地址,进而覆盖vtable实现控制指令流。

在Android 2.2-2.3.6没有ASLR的前提下,漏洞利用过程只有2个必要数据无法直接获取:dispatchCommand的this指针和栈地址SP。不幸(幸运)的是,强大的logcat填上了这个坑。有了logcat,即使有ASLR,对这个漏洞也没有防护能力。

 

版权声明:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 举报,一经查实,本站将立刻删除。

发布者:全栈程序员-用户IM,转载请注明出处:https://javaforall.cn/155231.html原文链接:https://javaforall.cn

【正版授权,激活自己账号】: Jetbrains全家桶Ide使用,1年售后保障,每天仅需1毛

【官方授权 正版激活】: 官方授权 正版激活 支持Jetbrains家族下所有IDE 使用个人JB账号...

(0)


相关推荐

  • matlab矩阵求逆矩阵非方阵_matlab验证逆矩阵出问题

    matlab矩阵求逆矩阵非方阵_matlab验证逆矩阵出问题matlab矩阵求逆矩阵因为所以该矩阵可逆,根据,其中得到计算矩阵A每个元素的代数余子式:所以可得:matlab计算如下:>>A1=[122;21-2;2-2

  • Tomcat安装配置

    Tomcat安装配置1-动态web1.1web服务器本身是一个程序,运行在服务器上。也称为Web容器,写的程序是运行在Web容器中。容器作用:共享资源(图片,网页),将服务器上资源分享给浏览器。解析写的Jav

  • java中hashmap遍历_map遍历的两种方式

    java中hashmap遍历_map遍历的两种方式在java开发中,hashMap是非常重要的容器类,存储的是键值对(key,value)。HashMap继承AbstractMap,实现了Map、Cloneable、Serializable接口,非线程安全类,但是效率高。HashMap允许null健和null值,允许value重复,但不允许key重复。HashMap有两个参数影响其性能,初始容量和加载因子,当哈希表中的条目数超出加载因子与当前容量的乘积时,要对哈希表进行refresh操作,重建内部数据结构,容量扩大为之前的两倍,加载因子默认值为0.75。

  • 全国电信及网通 DNS 列表

    全国电信及网通 DNS 列表有很多在上网时出现,QQ可以上就是不能打开网页的情况,出现这种情况后PINGwww.baidu.com也无法Ping通,那应该是DNS出问题了,换一个就可以打开网页了。 下面是整理的一系列DNS列表先给大家两个开放式老外提供的的DNS吧谷歌::8.8.8.88.8.4.4 OpenDNS::208.67.222.222208.67.220.

  • goland2021激活服务器 3月最新注册码

    goland2021激活服务器 3月最新注册码,https://javaforall.cn/100143.html。详细ieda激活码不妨到全栈程序员必看教程网一起来了解一下吧!

  • idea2021的激活码【在线注册码/序列号/破解码】

    idea2021的激活码【在线注册码/序列号/破解码】,https://javaforall.cn/100143.html。详细ieda激活码不妨到全栈程序员必看教程网一起来了解一下吧!

发表回复

您的电子邮箱地址不会被公开。

关注全栈程序员社区公众号