内容简介：这一篇讲 smep 保护和 ret2usr 攻击。主要参考了Supervisor Mode Execution Protection，是内核的一种保护措施，作用是当 CPU 处于通过 qemu 启动内核时的选项可以判断是否开启了 smep 保护。
这一篇讲 smep 保护和 ret2usr 攻击。主要参考了 Pratical SMEP bypass techniques on Linux 。
SMEP
Supervisor Mode Execution Protection，是内核的一种保护措施，作用是当 CPU 处于 ring0 模式时，执行 用户空间的代码 会触发页错误；这个保护在 arm 中被称为 PXN ；作用是防止 ret2usr 攻击。
通过 qemu 启动内核时的选项可以判断是否开启了 smep 保护。
CISCN2017_babydriver [master●●] grep smep ./boot.sh qemu-system-x86_64 -initrd rootfs.cpio -kernel bzImage -append 'console=ttyS0 root=/dev/ram oops=panic panic=1' -enable-kvm -monitor /dev/null -m 64M --nographic -smp cores=1,threads=1 -cpu kvm64,+smep
也可以通过
CISCN2017_babydriver [master●●] grep smep /proc/cpuinfo flags : fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush dts acpi mmx fxsr sse sse2 ss ht tm pbe syscall nx pdpe1gb rdtscp lm constant_tsc arch_perfmon pebs bts rep_good nopl xtopology nonstop_tsc cpuid aperfmperf pni pclmulqdq dtes64 monitor ds_cpl vmx est tm2 ssse3 sdbg fma cx16 xtpr pdcm pcid sse4_1 sse4_2 x2apic movbe popcnt aes xsave avx f16c rdrand lahf_lm abm 3dnowprefetch cpuid_fault epb invpcid_single pti tpr_shadow vnmi flexpriority ept vpid fsgsbase tsc_adjust bmi1 avx2 smep bmi2 erms invpcid rdseed adx smap intel_pt xsaveopt dtherm ida arat pln pts ......
检测该保护是否开启。
smep 和 CR4 寄存器
系统根据 CR4 寄存器的值判断是否开启 smep 保护，当 CR4 寄存器的第 20 位是 1 时，保护开启；是 0 时，保护关闭。
例如，当
$CR4 = 0x1407f0 = 000 1 0100 0000 0111 1111 0000
时，smep 保护开启。而 CR4 寄存器是可以通过 mov 指令修改的，因此只需要
mov cr4, 0x1407e0 # 0x1407e0 = 101 0 0000 0011 1111 00000
即可关闭 smep 保护。
搜索一下从 vmlinux 中提取出的 gadget，很容易就能达到这个目的。
- 如何查看 CR4 寄存器的值？
例题
CISCN2017 - babydriver
之前已经分析过使用uaf 的做法，这次换一种方法，通过关闭 smep 保护和 ret2usr 来提权。
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持 码农网
猜你喜欢:
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
Scrum敏捷软件开发
Mike Cohn / 廖靖斌、吕梁岳、陈争云、阳陆育 / 清华大学出版社 / 2010-11 / 69.00元
《Scrum敏捷软件开发》是敏捷联盟及Scrum联盟创始人之一、敏捷估算及计划的鼻祖Mike Cohn三大经典著作中影响最为深厚的扛鼎之作，也是全球敏捷社区中获得广泛肯定的企业敏捷转型权威参考。作者花四年时间，把自己近十五年的敏捷实践经验，特别是近四年中针对各种敏捷转型企业的咨询和指导工作，并结合旁征博引的方式，从更高的思想层次对敏捷与Scrum多年来的经验和教训进行深入而前面的梳理和总结，最终集......一起来看看 《Scrum敏捷软件开发》 这本书的介绍吧!
