Bezp. chyba ve všech jádrech 2.4 až 2.6 (diskuse)

[Max]

I'm safe, I run Windows

Fakt hustej komentář pod tím zápiskem :D
Zdar Max

[rastos]

> Útočník může dát kód do první stránky

Ako?

[oroborus]

pomocou mapovania do virtualneho adresoveho priestoru na zvolanu virtualnu adresu.

 

[majvan]

Cize hovorime o ktorej fyzickej adrese? O adresach (dekadicky) 0 - 4095? Ako donutim kernel, aby namapoval moje data zrovna na tuto adresu?

[oroborus]

Ja mam pocit, ze hovorime o virtualnej adrese.

( v pripade virtualnej adresy mozme "donutit kernel" pouzitim systemoveho volania mmap/mmap2 )

[majvan]

No, ak hovorime o virtualnej adrese 0 - 4192, tak potom ide pracu s nulovou strankou (ekvivalent prace s odkazom NULL) a to by mal system osetrit, nie? Da sa nejako zapisat data na tieto adresy?

[Jardík]

*((int*)0) = 5;

[oroborus]

Priklad toho ako sa moze nieco namapovat na adresu NULL a ako sa to moze spustit:

#include <unistd.h>
#include <sys/mman.h>
#include <string.h>

char *code =
"\xB8\x4\x0\x0\x0"	// mov eax, 0x4
"\xBB\x1\x0\x0\x0"	// mov ebx, 0x1
"\xB9\x22\x0\x0\x0"	// mov ecx, 0x22
"\xBA\xC\x0\x0\x0"	// mov edx, 0xc
"\xCD\x80"		// int 0x80
"\xB8\x1\x0\x0\x0"	// mov eax, 0x1
"\xBB\x0\x0\x0\x0"	// mov ebx, 0x0
"\xCD\x80"		// int 0x80
"Hello world\n\x0";

int main(int argc, char **argv)
{
	void *ptr;
	void (*f)();

	ptr = mmap(NULL, 4096, PROT_READ|PROT_WRITE|PROT_EXEC, MAP_PRIVATE|MAP_FIXED|MAP_ANONYMOUS, 0, 0);

	if( ptr != NULL )
	{
		return -1;
	}

	memcpy(NULL, code, 47);

	f = NULL;
	f();

	return 0;
}

[Jardík]

Aneb radši používejme pomalou instrukci int, když tu máme syscall a sysenter.

[Kozzi]

jo jenze ty nejsou dostupne vsude :D

[Libor Chocholaty]

A co procesory, ktere maji NX flag, aby se nespoustel kod z datovych stranek?

Coz by melo osetrit tento pripad.

Nebo ne?

[petr_p]

Bohužel NX stránky jsou vývojáři aplikací úspěšně ignorovány. Příkladem může být Firefox, kde po zavedení just-in-time kompilace javascriptu, jej začala „bezpečnostně vytvrzená“ jádra zabíjet. Ostatně se to týká všech moderních „interpreterů“. Otázka je, co s tím?

[fissie]

Vec se ma tak, ze nulova stranka je uplne stejna jako kazda jina. Jen za normalnich okolnosti tam nic neni namapovano, tudiz pristup na tu adresu faultne (-> segfault || oops). Pokud tam neco vlastniho namapujes a kernel ti to dovoli (coz nemusi jit vzdycky), pak tam je proste uplne normalni stranka a uplne normalni adresa, na kterou se da pristoupit.

[majvan]

Heh a ja som bol vzdy v tom, ze zrovna NULL stranka je osetrovana separatne...

[petris_]

IMO si musite nejdriv v jadre nastavit, ze pouzitelna pamet zacina od 0. Defaultne se na x86 pouziva az 2. stranka (4kB).

[hanzelko]

A ako sa to nastavi?

Lebo mne to skonci s UNABLE TO MAP ZERO PAGE

[John Doe]

echo 0 > /proc/sys/vm/mmap_min_addr

(platí pro jádra 2.6.23 a vyšší)

[hanzelko]

Oki, Dik.

To bolo ono. To echo som pustil ako root. A potom user : "test" gettol root ako nic. A este to prahralo aj to video v tom exploite.

[Ladislav Hagara]

Softpedia přínáší i screenshot.

Btw, které z distribucí mají hodnotu vm.mmap_min_addr nastavenou na 0?

$ sysctl vm.mmap_min_addr
vm.mmap_min_addr = 4096

[martin()]

Napriklad opensuse 11.1

[Béďja]

Mandriva 2008.1 tam má taky nulu.

[..... Izak .....]

Takze kdyz mam: vm.mmap_min_addr = 65536 tak jsem v pohode ?

[pc2005]

Doufám, že to jádro nebere jako unsigned int . Tuhle hodnotu mám taky (2.6.29 kompilované). BTW co suse 10.0?

[eoj]

Od dob, kdy byl uint 16b, už uplynula spousta vody.

[vencas]

Etch taky Ale Ubuntu 8.04 (hardy) ne, aspon na amd64

[Jendа]

Distribuční kernel (2.6.26) Lennyho

[DNA]

v sidovi

vm.mmap_min_addr = 4096

[Jakub Lucký]

Já měl na Sidovi nulu... Ale už je to napraveno...

[David Watzke]

Na Gentoo mám 4096...

[Ladislav Hagara]

... na YouTube i s videem

[barack obama bin ladin]

vm.mmap_min_addr = 0

V mandrive bola sice 0 tak som dal 4096.Ked pustim wunderbar_emporium.sh tak mi to je prt platne.

Aj tak ziskam roota

Takze jedine patch alebo novy kernel

[Salamek]

Archlinux
vm.mmap_min_addr = 4096

[Limoto]

+1... Arch je prostě bezpečnější než nějakej Debilan...

[Dundee5]

Moc nechápu jak je možné, že na adresu 0 lze zapisovat.

funkce void *mmap(void *addr, size_t length, int prot, int flags, int fd, off_t offset);

totiž podle manuálu při zadání NULL jako adr má použít "nějakou" adresu.

If addr is NULL, then the kernel chooses the address at which to create the mapping; this is the most portable method of creating a new mapping.

Takže nevím, proč

mem = mmap(NULL, 0x1000, PROT_READ | PROT_WRITE | PROT_EXEC, MAP_FIXED | MAP_ANONYMOUS | MAP_PRIVATE, 0, 0);

zapisuje přímo do 0.

[petr_p]

Protože MAP_FIXED.

[Dundee5]

Aha, díky za osvětlení.