其他
来源|编程技术宇宙作者|轩辕之风本故事根据Linux内核真实漏洞改编帝国危机夜幕降临,喧嚣褪去,繁忙的Linux帝国渐渐平静了下来,谁也没有想到,一场危机正在悄然而至......“咚咚!”帝国安全部长办公室的敲门声,打破了夜晚的宁静。“部长,刚刚发现有程序在修改passwd文件。”原来是文件系统部门的小黑到访。安全部长眉头一紧,这passwd文件可非比寻常,里面记录了系统中所有用户的信息,但0.1ms之后,紧锁的眉头便舒展开来。“这有什么大惊小怪的?只要有root权限,这是允许的嘛!”安全部长没有抬头,继续看着每天的系统日志。“部长,重点在于这程序不是从系统调用进入内核,而是从中断入口进来的。”安全部长愣了一下,约摸0.2ms之后,放下了手里的日志,站了起来。“你是说,他是通过中断描述符表(IDT)进来的?”小黑点了点头。“小王,你赶紧跟他过去IDT看一下,调查清楚速来报我!”部长对着一旁的助理说道。助理点了点头,准备出发,刚走到门口,又被部长叫住了。“等等!此事非同小可,我还是亲自去一趟吧!”IDT修改谜案安全部长随即出发,来到IDT所在的地方,这里一切如旧,未见有何异样。部长指着这中段描述符表问道:“他是从哪道门进来的?”“4号!”这时,看守IDT大门的白发老头闻讯走了过来回答道。“奇怪了,IDT表中的函数入口,都是我们操作系统安排好了的,讲道理没有哪一个会去修改passwd文件才对。”部长看着这些表项,低头自语。“部长,这我得跟您汇报一下,那小子进来之前,把第四项的入口地址高32位改成了0x00000000,进来之后他才给恢复成了0xFFFFFFFF。”老头说完,拿出了IDT表项的结构图展了开来。部长听完猛地一抬头:“这入口地址是64位的,在IDT表项中拆分成三部分存储。高32位平时都是0xFFFFFFFF,指向的是咱们内核空间中的中断处理函数。现在变成了0x00000000,那整个函数入口地址不就指向了用户态地址空间了吗?”小黑和助理都不敢说话,大家都知道这后果有多严重,天知道那家伙利用内核权限执行了用户空间的什么代码。“不对,在他进来之前,一个用户空间的程序怎么能改IDT的内容呢?他没权限访问才对,你是不是看错了?”“我没有看错,他改的是时候,我还特地留意了一下他的调用堆栈,不是在用户空间,是从内核空间的函数——perf_swevent_init方向来的。”老头说道。整数+1的悲剧部长二话没说,又带着大家直奔perf_swevent_init函数而去。“老伯,您可还记得具体是哪个位置?”部长问道。“就是从19行那个static_key_slow_inc函数过来的。”“让我看一下!”助理挤到前面来,想在部长面前露一手。“嗯,这个static_key_slow_inc做的事情是把一个整数执行了原子+1操作。不过它操作的是perf_swevent_enabled数组,跟IDT八杆子打不到一块儿去,怎么能修改到IDT呢?”助理摸了摸头,往后退了两步,瞧着是没看出什么问题。“不见得!”部长仍然是紧锁着眉头,开口说道,“你们看,它是通过event_id这个数字作为下标来访问数组元素,要是这个event_id出错访问越界,指向IDT,也不是没有可能啊!”助理赶紧扫了一眼event_id,随后便露出了失望的表情:“不会的,第9行有检查,你看,超过8以后就会通不过检查。”线索在这里被切断了,本来指望在perf_swevent_init这个函数这里寻找IDT被修改之谜,看来要无功而返了。不知不觉,时间已经很晚了,部长一行决定先回去,再从长计议。部长走了几步,见助理没有跟上来,便回头叫了他一声。“部长请留步,我好像感觉哪里不太对劲。”助理此刻也皱起了眉头。“你发现了什么?”部长和小黑他们又走了回来。“部长,你看第3行,这个event_id是一个int型的变量,也就是说这是一个有符号数。”助理说道。“有符号数怎么了?”小黑也忍不住开口问了。“如果······”“如果event_id变成了一个负数,它将能越界访问数组,并且还能通过第9行的大小检查!”没等助理说完,部长道破了玄机!众人再一次将目光聚集在了这个event_id上,打算看一下第三行给它赋值的event->attr.config是个什么来头。首先是perf_event中的attr成员变量:struct