内容简介：这一篇讲 smep 保护和 ret2usr 攻击。主要参考了Supervisor Mode Execution Protection，是内核的一种保护措施，作用是当 CPU 处于通过 qemu 启动内核时的选项可以判断是否开启了 smep 保护。
这一篇讲 smep 保护和 ret2usr 攻击。主要参考了 Pratical SMEP bypass techniques on Linux 。
SMEP
Supervisor Mode Execution Protection，是内核的一种保护措施，作用是当 CPU 处于 ring0 模式时，执行 用户空间的代码 会触发页错误；这个保护在 arm 中被称为 PXN ；作用是防止 ret2usr 攻击。
通过 qemu 启动内核时的选项可以判断是否开启了 smep 保护。
CISCN2017_babydriver [master●●] grep smep ./boot.sh qemu-system-x86_64 -initrd rootfs.cpio -kernel bzImage -append 'console=ttyS0 root=/dev/ram oops=panic panic=1' -enable-kvm -monitor /dev/null -m 64M --nographic -smp cores=1,threads=1 -cpu kvm64,+smep
也可以通过
CISCN2017_babydriver [master●●] grep smep /proc/cpuinfo flags : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush dts acpi mmx fxsr sse sse2 ss ht tm pbe syscall nx pdpe1gb rdtscp lm constant_tsc arch_perfmon pebs bts rep_good nopl xtopology nonstop_tsc cpuid aperfmperf pni pclmulqdq dtes64 monitor ds_cpl vmx est tm2 ssse3 sdbg fma cx16 xtpr pdcm pcid sse4_1 sse4_2 x2apic movbe popcnt aes xsave avx f16c rdrand lahf_lm abm 3dnowprefetch cpuid_fault epb invpcid_single pti tpr_shadow vnmi flexpriority ept vpid fsgsbase tsc_adjust bmi1 avx2 smep bmi2 erms invpcid rdseed adx smap intel_pt xsaveopt dtherm ida arat pln pts ......
检测该保护是否开启。
smep 和 CR4 寄存器
系统根据 CR4 寄存器的值判断是否开启 smep 保护，当 CR4 寄存器的第 20 位是 1 时，保护开启；是 0 时，保护关闭。
例如，当
$CR4 = 0x1407f0 = 000 1 0100 0000 0111 1111 0000
时，smep 保护开启。而 CR4 寄存器是可以通过 mov 指令修改的，因此只需要
mov cr4, 0x1407e0 # 0x1407e0 = 101 0 0000 0011 1111 00000
即可关闭 smep 保护。
搜索一下从 vmlinux 中提取出的 gadget，很容易就能达到这个目的。
- 如何查看 CR4 寄存器的值？
例题
CISCN2017 - babydriver
之前已经分析过使用uaf 的做法，这次换一种方法，通过关闭 smep 保护和 ret2usr 来提权。
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持 码农网
猜你喜欢:
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
Spring Boot实战
[美]克雷格·沃斯 / 丁雪丰 / 人民邮电出版社 / 2016-9 / 59.00元
本书以Spring应用程序开发为中心，全面讲解如何运用Spring Boot提高效率，使应用程序的开发和管理更加轻松有趣。作者行文亲切流畅，以大量示例讲解了Spring Boot在各类情境中的应用，内容涵盖起步依赖、Spring Boot CLI、Groovy、Grails、Actuator。对于Spring Boot开发应用中较为繁琐的内容，附录奉上整理完毕的表格，一目了然，方便读者查阅。一起来看看 《Spring Boot实战》 这本书的介绍吧!
