ret2usr

适合人群：内核基础为0

知识学习

基础知识：

https://ctf-wiki.github.io/ctf-wiki/pwn/linux/kernel/basic_knowledge-zh/

https://xz.aliyun.com/t/7625#toc-10

copy_from_user

copy_from_user(void to, const void __user from, unsigned long n)

（1）to：将数据拷贝到内核地址

（2）from：需要拷贝数据的用户地址

（3）n：拷贝数据的长度（字节）

也就是将form用户地址中的数据拷贝到to内核地址中去，拷贝长度是n

cpio解压和打包

解压：cpio -idvm < ../initramfs.cpio
打包：find . | cpio -H newc -o > ../initramfs.cpio

环境搭建

调试，startvm.sh末尾加上

1	-gdb tcp::1234 -S

【注：上一行后面还要加上’ \ ‘，不然的话，远程调试可能端口没开，连不上】

实践

ret2usr（level1）

说明：参考Linux Kernel Pwn 初探,主要加上具体的一些细节

查找prepare_kernel_cred和commit_creds的地址

 $ grep prepare_kernel_cred  /proc/kallsyms 
 $ grep commit_creds  /proc/kallsyms

但是直接执行，地址都是0x0，需要root权限。

方法：修改suid

（1）创建一个文件夹

1 2	$ mkdir myimage $ cd myimage

（2）解压initramfs.cpio文件

1	cpio -idvm < ../initramfs.cpio

（3）修改suid

进入etc/init.d/rcS，将1000修改为0

1	level1/myimage$ gedit etc/init.d/rcS

（4）重新打包

1 2	level1/myimage$ find . \| cpio -H newc -o > ../initramfs.cpio level1/myimage$ cd ..

（5）再次执行两条命令即可

已经是root权限了

prepare_kernel_cred的地址为0xffffffff810b9d80

commit_creds的地址为0xffffffff810b99d0

/ # grep prepare_kernel_cred  /proc/kallsyms 
ffffffff8109a620 T prepare_kernel_cred
ffffffff81b72650 R __ksymtab_prepare_kernel_cred
ffffffff81b89b07 r __kstrtab_prepare_kernel_cred
/ # grep commit_creds  /proc/kallsyms 
ffffffff8109a250 T commit_creds
ffffffff81b69b00 R __ksymtab_commit_creds
ffffffff81b89b43 r __kstrtab_commit_creds
/ # cat /proc/modules 
rootme 1616 0 - Live 0xffffffffc0000000 (OE)
./sys/module/rootme
./proc/rootme

疑问解答：此时已经获得root权限了，不就可以直接cat /flag了？

实际题目中，不会把真的flag放文件里给你，而是在远程环境了。但是本地的地址和远程的地址是一样的，所以，可以通过这种方法得到本地的用户权限，找到prepare_kernel_cred和commit_creds的地址，但是没有办法直接获得flag。