本文仅限于快速从用户态向内核态入门,可能会有很多不严谨的地方,存在问题请及时告知感谢!本文旨在通过对比用户态 ROP 利用和内核 ROP 利用，揭示两者在利用手法上的相似性。通过分析用户态漏洞利用的流程，结合内核漏洞利用的特点，引导读者理解内核 ROP 利用的本质，从而更快地掌握内核漏洞利用技术。

本文主要是要为了帮助大部分人去克服学习内核利用Kernel_pwn前的枯燥无聊的前置知识的学习,虽然本文很长但是只需要跟着实际操作就可以快速学习完毕,本文直接以用户态和内核态的对比利用来讲解,在实际操作中讲解知识点,其实本文可以直接从这部分开始看:五、实战以强网杯2018 - core内核Pwn题

之后再回来看基础知识!学会如何进行Linux内核调试和驱动文件的漏洞挖掘!!!!

无论是在内核还是用户态中,漏洞利用的本质是通过构造特定输入，触发程序的异常执行路径。其核心逻辑包含三个必要要素：

攻击的终极目标是控制程序执行流。当攻击者能够通过漏洞改写EIP/RIP寄存器或劫持函数指针时，即可强制程序跳转至指定内存区域（如Shellcode或ROP链），最终实现代码执行。

当内存屏障竖起高墙，黑客如何让代码在荒漠中开花？（ROP（Return-Oriented Programming）的本质是一场精密的指令拼图游戏——从程序的废墟中挖掘代码片段（gadgets），通过栈指针的精准操控，让这些孤立指令像多米诺骨牌般连锁触发，最终突破系统的桎梏!

关键差异总结：

1. 内核映像文件（如 vmlinuz）
内核映像文件是 Linux 操作系统的核心，包含内核代码和基本驱动。启动时，它被加载到内存中，解压后执行，负责初始化硬件、设置内存管理，并为用户空间准备环境。

2. Initrd/Initramfs
Initrd 和 Initramfs 是启动过程中的临时根文件系统，用于在挂载真实根文件系统前加载必需的驱动和工具。

QEMU 是一个开源模拟器，广泛用于虚拟化不同架构的操作系统。在启动 Linux 内核时，QEMU 通过 qemu-system-x86 命令初始化虚拟机环境。这一过程包括设置 CPU、内存和设备模拟，确保虚拟机能够运行目标操作系统。

内核加载与执行： QEMU 加载内核映像文件，通常为 bzImage（压缩的内核）或 vmlinux（未压缩的内核）。根据 QEMU 文档，用户可以通过 -kernel 选项指定内核文件路径。内核加载后，会自动解压（如果为 bzImage），然后开始执行，完成硬件初始化（如设置内存结构、加载驱动）。

Initramfs（Initial RAM Filesystem）是 Linux 启动过程中的临时根文件系统，通常以 initramfs.cpio 格式存在。根据 Gentoo Wiki，其主要目的是为内核提供一个最小化的用户空间环境，以加载必要的驱动和挂载真实根文件系统。

在 Initramfs 设置完成后，内核会启动 Initramfs 中的 /init 脚本，这是第一个用户空间进程。/init 脚本负责加载必要的内核模块（如 .ko 文件），挂载真实根文件系统，然后启动用户空间的初始化进程（如 systemd 或 shell），完成系统的全面初始化。，根据不同的构建方式shell脚本可以在不同位置。

1.LKMs 的文件格式:
在linux里面查看该文件：

文件格式：Linux：采用 ELF（Executable and Linkable Format）格式，后缀通常是 .ko（kernel object）。
LKMs 文件与ELF的区别：

LKMs（可装载内核模块）是什么？
定义：LKMs 是 Linux 内核支持的一种机制，允许在内核运行时动态加载或卸载功能模块，而无需重新编译或重启整个内核。它们是内核代码的扩展，通常用于添加设备驱动程序、文件系统支持、网络协议或其他功能。
特点：

与内核相关的Linux指令：

例题：强网杯2018 - core
依然是十分经典的kernel pwn入门题,内核入门题的老演员了！
点击下载-core.7z
WP:【PWN.0x00】Linux Kernel Pwn I：Basic Exploit to Kernel Pwn in CTF - arttnba3's blog

这里的启动参数中包含：

这就是解压出来的文件系统core.cpio，就是一个Linux操作系统的文件目录结构里面有构建好的基础工具：

解压后你会发现文件系统内的目录结构与标准 Linux 系统类似，主要目录包括：

在解压出来的文件系统中成功找到了core.ko内核文件：

分析输出可以看出：

在深入分析驱动文件之前，掌握一些基础知识是至关重要的。本节将带领读者了解如何通过动静结合的方式对驱动文件进行逆向分析，重点讲解用户态与内核态的交互机制、关键内核函数的使用，以及如何通过调试工具对内核进行调试。

在Linux系统中，用户态程序与内核态驱动之间的交互通常通过系统调用实现。ioctl 是一个非常重要的系统调用，用于设备控制。它允许用户态程序向内核态驱动发送特定的控制命令，从而实现设备的管理和配置。

在一般系统调用就是通过系统调用号来实现，比如64位下read的系统调用号为0。

/usr/include/x86_64-linux-gnu/asm/unistd_64.h 和 /usr/include/x86_64-linux-gnu/asm/unistd_32.h 可以查看 64 位和 32 位的系统调用号。

系统调用：ioctl
在 Linux 系统中，几乎所有设备都被视为文件，这使得通过标准的文件操作（如 open、read、write 和 close）来访问设备变得简单。然而，某些操作超出了这些标准接口的能力，需要一个更灵活的机制来处理设备特定的功能，这就是 ioctl 的用武之地。

ioctl** 的功能**

函数原型
在 C 语言中，ioctl 的原型如下：

使用ioctl

init_module 是 Linux 内核模块加载时的入口函数，负责：

了解 init_module 的实现可以帮助确定驱动的加载流程和初始化逻辑，并为后续的漏洞挖掘提供线索。

在内核驱动中，许多函数在系统稳定性与安全性上起着至关重要的作用。下面列举一些常见的函数：

在 Linux 内核中，proc_create 是一个非常重要的函数，用于在 /proc 文件系统下创建新的文件条目。它通常用于内核模块或驱动程序开发，以便提供一种用户空间与内核空间交互的接口。下面我详细解释它的作用和用法。

返回值: 返回一个指向 struct proc_dir_entry 的指针，表示创建的 proc 文件条目。如果创建失败，返回 NULL。

参数说明:

例题：强网杯2018 - core
依然是十分经典的kernel pwn入门题,用他来进行内核调试

点击下载-core.7z
WP:【PWN.0x00】Linux Kernel Pwn I：Basic Exploit to Kernel Pwn in CTF - arttnba3's blog

本部分将深入解析内核漏洞调试环境的构建方法，以强网杯2018核心赛题为例，演示完整的调试流程

我们使用以下C程序作为内核态数据探测工具，其核心功能是通过ioctl系统调用与内核模块交互，写了一个泄露内核Canary值的简单程序，编译好后直接传入虚拟机,之后执行即可获得，内核空间中Canary的值！仅本案例有效：

需要在宿主机上，因为有汇编编译使用-masm，而且要静态编译然后传入系统中进行执行：

测试每个程序中系统系统调用函数的内核程序的Canary是否一直在变！

现象分析：每次系统重启后Canary值随机变化，证明Canary的值会随机变化

修改init脚本实现调试增强：

关键修改说明：

将前面编译好的readcnary可执行程序也传入里面，再将整个文件系统重新打包为core.cpio，在使用start.sh启动！

使用 QEMU 模拟内核环境，需关注内存分配、设备初始化及启动参数。下面是一个典型的 QEMU 启动脚本示例start.sh：

调试的时候我们可以先把kaslr关掉，这样就可以根据获取到函数的原始地址，后续再通过该值计算函数偏移

如果运行start.sh报错:

说明：这个运行之后会报错,由于内存RAM分配不够,内存不足会导致启动错误，如 “Kernel panic - not syncing: Out of memory...”；适当调整内存参数是必需的。改为：-m 512M,1024M,2028M.....

首先通过start.sh启动qemu，在启动start.sh，在进入qemu里面

准备开始调试：通过lsmod获取驱动基地址
有root权限就可以获取基址：

如果是非root权限就无法看见基地址全是0，如果是自己的驱动有可能是符号表未被加载，导致全0：

获取到基地址就可以开始调试了：
，将得到的基地址传入gdb脚本的第一个参数即可！
启动gdb.sh
运行刚刚放入进去的可执行程序，就可以成功开启调试了

成功！

A. 基本信息

B. 已启用的保护机制

C. 漏洞利用便利性

可以简单使用IDA查看一下core.ko的相关函数！如下图：

在 Linux 内核中，开发者可以通过加载模块的方式扩展内核功能。本文将介绍一个示例模块，其主要功能是在 /proc 目录下创建一个名为 core 的虚拟文件，通过对该文件的读写操作，实现内核数据与用户空间的交互。

init_module() 是Linux内核模块的入口函数，当模块被加载（insmod）时会调用此函数。

proc_create("core", 438LL, 0LL, &core_fops):

core_fops 是一个struct file_operations结构体，定义了对/proc/core文件的操作方法。

可以去这里看下详细数据：

从数据段来看，core_fops定义了以下几个字段：

当用户打开 /proc/core 文件进行操作（例如调用 write、read 等系统调用）时，内核会根据注册的 core_fops 结构体，转而调用上述各个函数，从而实现内核与用户空间的数据交互。

该函数使用 copy_from_user 将用户空间的数据拷贝到内核变量 name 中，并在写入数据超出预期大小时打印错误信息。

例如：

也就是说大我们使用open打开虚拟文件/proc/core向这个文件进行操作的时候，比如调用write像这个fd进行操作的时候，会调用的不是系统默认的write函数，而是调用内核中注册的core_write函数进行操作！

这个函数的作用就是将内核态中的堆栈数据，泄露到用户态度内存环境中：

通过 copy_to_user 将数据复制到用户提供的地址。来实现从内核态向用户态泄露数据的功能。

通过 exit_core 函数删除 proc 文件，完成模块卸载时的清理工作。

core_release 函数，当文件关闭时执行清理操作。

内核模块通过 core_ioctl 提供了三个主要操作，其命令码分别为：

漏洞点：

在用户态，我们通常利用ROP（Return Oriented Programming）绕过 NX 保护，通过精心构造的 ROP 链控制代码执行，实现权限提升或执行任意命令。在内核态，ROP 的利用方式与用户态类似，但会有一些概念上的区别。
传统的用户态ROP利用是通过：寻找程序存在的漏洞，进行信息泄露，绕过保护机制Canary和aslr，ROP链构造，寻找溢出漏洞，写入ROP链，来执行system("/bin/sh")调用直接获取用户层Shell，核心是用户空间权限的横向扩展。
内核态ROP：需调用commit_creds(prepare_kernel_cred(0))完成提权到root，核心是内核态权限的纵向突破

如何获取和使用 Gadgets:
1.使用 ropper 提取 Gadgets
安装完成后，你可以使用 ropper 从 vmlinux 镜像中提取 gadgets，并将结果保存到 gadgets.txt 文件中：

2.使用 ROPgadget 提取 Gadgets
你也可以使用 ROPgadget 工具来提取 gadgets，命令如下：

3.注意事项

根据前面对驱动文件的逆向分析，我们可以很快的想到泄露Canary值和函数地址偏移的方法！直接得到两个exp！

下面这个是泄露Canary值的exp.c脚本：

利用的原理也很简单，通过set_off_val设置off变量的值为64，这个偏移正好就可以让core_read函数读取到内核空间中Canary的值！从而能够成功泄露Canary!!

64这个偏移是如何计算出来的可以通过gdb调试内核来手动定位：
想查看内部的细节可以直接在这个函数的位置下个断点，然后进入直接调试！计算Canary的偏移

调试脚本：

查看内容！

成功计算出偏移地址是64,所以可以调用驱动中的core_read来读取Canary的值，从而来绕过栈溢出保护！

首先启动qemu获取未开启内核地址随机化的时候的函数真实地址：

之后就可以手戳出来一个泄露内核任意函数和gadget的exp！！！

原理是此前内核符号表又已经被拷贝到了/tmp/kallsyms下，我们便可以从中读取各个内核符号的地址,如果在/proc/kallsyms下需要root权限才可以读取,在/tmp/kallsyms所有用户都可以读取，所以即使开启了kaslr也可以获得指定函数的真实地址！

构造内核ROP链与用户态ROP链的主要区别在于状态切换。由于内核ROP链执行完毕后，最终需要返回用户态以获取一个具有root权限的shell，因此必须实现从内核运行状态到用户运行状态的切换。

为了实现这一目标，我们需要关注三个关键概念：

在 这篇博客 当中笔者简要叙述了内核态返回用户态的过程!

在内核ROP链执行之前，我们需要手动模拟用户态进入内核态的准备工作，即保存各寄存器的值到内核栈上。通常情况下，可以使用以下步骤来保存寄存器的值：

方便起见，使用了内联汇编，编译时需要指定参数：-masm=intel

在这个函数中，我们将用户态的寄存器值保存到预定义的变量中，以便在构造ROP链时使用。

为了从内核态返回到用户态，我们需要在内核代码中找到合适的gadget。这些gadget通常包括：

在内核中，可以通过工具如ROPgadget或objdump来寻找这些gadget。例如：

在内核ROP链中，通常需要调用一些提权函数来提升当前进程的权限。常见的提权函数包括：

那么我们只需要在内核中找到相应的gadget并执行swapgs;iretq就可以成功着陆回用户态
通常来说，我们应当构造如下rop链以返回用户态并获得一个shell：

现在只需要定位一下函数的溢出长度就可以成功构造内核ROP链了!

最后调试栈溢出位置即可！调试脚本：

成功大选断点查看一些栈中的情况

可以发现溢出的长度正好是8X10个字节!

计算出溢出的长度后就可以直接构造了,我们需要完成的部分：user_shell_addr

由于是内核态的rop，故我们需要手动返回用户态执行/bin/sh，这里我们需要模拟由用户态进入内核态再返回用户态的过程:

编译:

成功:

相关参考链接感谢大佬的文章!!!

报错解决:

如果执行后报错,大概率是gadgets的地址弄错了,重新从BzImage里面提取vmlinux在去获取Gadget!

也可以直接使用pwntools工具来搜索:

[注意]看雪招聘，专注安全领域的专业人才平台！