基于：vulnerable_linux_drive（类似windows著名的的HEVD）

驱动地址：https://github.com/invictus-0x90/vulnerable_linux_driver

将Shellcode与大量的slide code（滑板指令）相组合，组成一整个 注入代码段 ，然后向系统申请大量的内存空间，并反复用 注入代码段 填充，然后将程序执行流劫持到内核堆上，使得程序慢慢“滑”向SHellcode。

Slide code一般使用：

1.NOP指令（\x90）

2.\x0c

3.\x0d

他们均不会影响shellcode的执行。

SLAB作为用户linux系统内核对于小对象的高速cache。

cat /proc/slabinfo 可以查看当前 slab 对象的分配情况。

如：

其中 kmalloc-8 代表：首先，他是一个普通的（非专用slab），里面的对象都是8B，当你申请1到8B时会从这里给你返回一个cache对象，当你kfree掉他时，这个free_cache会回到kmalloc-8的SLAB里面。（类比用户态有点像一个本身就有chunk的fastbin？）

与用户态相似的，当free掉一个SLAB对象时，仅仅是标free，并且slab优先分配最后被free的对象。

而slab对象受到 kmem_cache 的管理（比如说kmalloc-8）。

其管理层级结构如下：

并且用户可以通过：kmem_cache_create 创建一个自己的 kmem_cache 数据结构。

函数原型：

主要用于发送消息到另一个套接字，比如：在不同的进程之间传递文件描述符（file descriptor）

源码如下 ：

https://elixir.bootlin.com/linux/v4.4.31/source/net/socket.c

首先做一次UAF，然后练习100000调用sendmsg，参数中的msgh是我们用户态的东西。

将user space的controllen大小（84）赋值给ctl_len.

检测到大于0x44，重新调用kmalloc从专用SLAB中开内存

最后把用户态的内容拷贝到内核中。ctl_buf是kmalloc出的。

之后多次调用，完成大量申请空间并填充。

可以看到程序的执行流流向了我们填充的0x61，至此，堆喷成功。

源码：

msg_msg结构如下：

所以我们不能控制前0x30，并且消息越大，越容易阻塞。

The second drawback, which is commented in my code, is that the larger the message, the fewer messages we can send before the process blocks. I presume this wouldn’t occur if I had another process calling msgrcv and taking messages out of the queue, but for now 120 allocations was enough.

主要使用UAF漏洞配合Kernel heap spray来bypass smep和kalsr实现提权。

内核版本：4.4.31

缓解措施：kaslr + smep

利用过程：

1.首先在子进程中堆喷触发page fault，利用dmesg泄露加载基地址。

2.利用 native_write_cr4 将cr4第21位设置成0，整个cr4为0x6f0

3.关闭smep、smap后直接ret2usr起root shell

exp如下：

效果：

https://invictus-security.blog/2017/06/15/linux-kernel-heap-spraying-uaf/

https://fivezh.github.io/2017/06/25/Linux-slab-info/

[图解slub]http://www.wowotech.net/memory_management/426.html

http://www.secretmango.com/jimb/Whitepapers/slabs/slab.html

https://www.cnblogs.com/lojunren/p/3865232.html

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)