Linux exploit漏洞利用的技术原理

Linux 漏洞利用的技术原理

一 攻击面与典型入口

1. 内核模块与驱动：通过设备文件（如 /proc/xxx、/dev/xxx）暴露的 ioctl、read/write 等接口，一旦存在栈溢出、越界读写、UAF等缺陷，即可在内核态执行任意代码或篡改关键数据结构。常见流程包括泄露 canary、构造 ROP 或采用 ret2usr 返回用户态执行提权代码。内核提权的核心原语是调用 commit_creds(prepare_kernel_cred(0)) 获取 root 权限。
2. 用户态服务与 CGI：如 Samba 历史漏洞（usermap_script）、Bash Shellshock（CVE-2014-6271） 通过环境变量注入在 CGI 场景执行任意命令；这类问题本质是外部可控输入被不安全地导入到解释器或程序环境中执行。
3. 本地提权与配置缺陷：包括 SUID/SGID 程序滥用、sudo 配置不当、cron 任务可写等，属于“低垂果实”，常作为权限提升的入口。

二 通用利用链

1. 触发缺陷：利用缓冲区溢出、整数溢出、格式化字符串、释放后重用（UAF）、竞态条件等，获得越界读写或控制流劫持能力。
2. 信息泄露与地址随机化对抗：读取 /proc/kallsyms（旧版为 /proc/ksyms）或内核内存泄漏来绕过 KASLR，泄露 canary 以通过栈保护检查。
3. 代码执行路径选择：
   1. 用户态：构造 ROP/JOP 或写入 shellcode（需绕过 NX），劫持返回地址到有效载荷。
   2. 内核态：构造内核 ROP 执行 commit_creds(prepare_kernel_cred(0))，随后安全返回用户态；若 SMEP/PXN 开启，需采用 ret2usr 或改写可执行映射（如 VDSO）等策略。
4. 稳定着陆与清理：正确恢复寄存器与栈帧（如 swapgs; iretq 的寄存器布局），避免崩溃或留下明显痕迹。

三 内核利用关键技术

1. 栈溢出与 Canary 绕过：通过可控偏移泄露 canary，在溢出时保持 canary 一致即可劫持控制流。
2. ROP 与 ret2usr：在内核态用 ROP 调用提权原语并“返回用户态”执行 system(“/bin/sh”)；当 SMEP/PXN 禁止内核执行用户态代码时，采用 ret2usr 直接在用户态执行提权逻辑。
3. 绕过 SMEP/PXN 的方法：
   1. 修改 VDSO 映射属性为可写可执行，布置 shellcode 并触发内核调用；
   2. 利用 ret2dir/JOP 等技术在特定内存布局下执行代码。
4. 任意地址读写到提权：篡改 cred 结构（如将 uid/gid 置 0）或通过 task_struct 相关指针链完成权限提升。

四 用户态堆利用要点

1. ptmalloc 与 off-by-one：由于堆块对齐与头部字段布局，null byte off-by-one 可覆盖相邻块的 inuse/pre_size，进而实现**块重叠（chunk overlapping）**或触发 unlink 造成“任意写”。
2. 利用效果与条件：
   1. chunk overlapping：通过精心布局，使目标块被重新分配到包含目标的内存区域，获得对该区域的任意读写。
   2. unlink：在 small bin 场景可将指针改写为 &ptr - 0xc（x64 为 &ptr - 0x18），形成稳定的“写任意地址”原语；large bin 的类似路径在部分版本中受更严格检测限制。

五 防护与检测要点

1. 及时修补与加固：保持内核与系统为最新，关键系统可采用内核热补丁减少重启窗口；这是防御本地提权（含内核漏洞）的最有效措施。
2. 最小权限与审计：清理不必要的 SUID/SGID，严格审查 sudoers，对 cron 等定时任务实施最小权限与完整性校验，降低配置类提权风险。
3. 运行时防护：启用并合理配置 KASLR、NX、SMEP/PXN、KPTI 等缓解；限制对 /proc/kallsyms 等敏感信息的访问；部署 auditd 等审计机制监测特权操作与异常行为。
4. 安全开发：内核/驱动遵循最小权限与输入校验，避免在内核态直接执行用户态数据，优先使用高 level API 与安全拷贝函数。