डेस्कटॉप लिनक्स में विशेषाधिकारों की वृद्धि: जीयूआई अनुप्रयोगों से रूट एक्सेस प्राप्त करना

कुछ महीने पहले, रफाल वोजटचुक एक गंभीर कारनामे के साथ आया था, जो आपको एक अनपेक्षित प्रक्रिया से सुपरयुसर अधिकारों को प्राप्त करने की अनुमति देता है, जिसमें एक्स सर्वर (जो एक नियमित उपयोगकर्ता के रूप में चल रहे जीयूआई एप्लिकेशन से) तक पहुंच रखता है। दूसरे शब्दों में, कोई भी GUI प्रोग्राम (उदाहरण के लिए, पीडीएफ फाइलों का एक रीडर), अगर यह समझौता किया जाता है (उदाहरण के लिए, विशेष रूप से तैयार पीडीएफ फाइल के साथ), तो सभी सुरक्षा अवरोधों के माध्यम से पूर्ण कंप्यूटर स्वामित्व तक टूट सकता है। यहां तक ​​कि सेलाइनक्स सैंडबॉक्स ( SElinux "सैंडबॉक्स -X" ) भी नहीं बचाता है। और समस्या कई वर्षों से मौजूद है - जाहिरा तौर पर, 2.6 कर्नेल के पहले संस्करणों से।



इस भेद्यता की समीक्षा 17 अगस्त को [2] में जारी की गई थी, और मैं इसके बारे में एक सरलीकृत स्थानों में, कभी-कभी विस्तारित रूप में बात करना चाहता हूं।

यह कैसे काम करता है

इस अपमान का मुख्य कारण लंबे समय से जाना जाता है [3] । समस्या विशेष रूप से लिनक्स मेमोरी एलोकेशन एल्गोरिदम है। जैसा कि सभी जानते हैं, दो मुख्य स्थान हैं जहां एक प्रक्रिया को गतिशील मेमोरी का एक टुकड़ा मिल सकता है - स्टैक और ढेर। और आप पता स्थान का एक टुकड़ा भी आवंटित कर सकते हैं जो भौतिक मेमोरी के अनुरूप नहीं है - इसके लिए फाइल सिस्टम (एमएमएपी) में फाइलों की प्रक्रिया की आभासी मेमोरी का मानचित्रण करना है या बस कर्नेल ऑब्जेक्ट्स (सिस्टम-वी शैली मेमोरी मेमोरी) को बदलना है। यह भी आवश्यक नहीं है कि स्मृति का आवंटित टुकड़ा भौतिक रूप से मौजूद हो, कम से कम उस क्षण तक जब हम उसमें लिखना शुरू करते हैं।





X86-32 पर मेमोरी आवंटन, [3] से चित्र। X86-64 पर सब कुछ बहुत समान है, केवल एक बड़े पैमाने पर :)



स्टैक मेमोरी को आवंटित करने का सबसे आसान तरीका है। आवश्यकतानुसार, यह उच्चतम पतों से निम्नतम तक बढ़ता है, और यदि यह अचानक पता चलता है कि स्टैक का अगला पृष्ठ बाहर चला गया है, जब वहाँ लिखने की कोशिश कर रहा है, तो प्रोसेसर एक पेज फाल्ट फेंकता है, और कर्नेल स्टैक के लिए कुछ और पेज आवंटित करता है (या प्रक्रिया को मारता है यदि यह आवंटित करने में विफल रहता है) । प्रारंभ में, स्टैक आवंटित किया गया है (x86-32 पर) पता स्थान के ऊपरी हिस्से में मेमोरी का एक टुकड़ा, डिफ़ॉल्ट रूप से 128 एमबी, लेकिन वास्तव में इस मेमोरी को आवश्यकतानुसार आवंटित किया जाता है, और अगर अचानक सब कुछ अन्य स्थानों में व्यस्त है, तो मॉलोक () और एमएमएपी () का उपयोग करना शुरू हो जाता है। "स्टैक" मेमोरी।



आक्रामक आवंटन के परिणामस्वरूप, यह पता लग सकता है कि आवंटित वर्गों में से एक स्टैक की निचली सीमा से सटे हुए है (यह एक शोषित संपत्ति है)। मान लीजिए कि अब हमने कुछ गहराई से पुनरावर्ती कार्य कहा। स्टैक पॉइंटर सीमा के पास जाने लगता है, अंततः इसे पार कर जाता है और ... कुछ नहीं होता है, क्योंकि हमारे द्वारा आवंटित मेमोरी स्टैक के ठीक पीछे शुरू होती है। तो, हमारे पास स्टैक का एक हिस्सा है, जो वास्तव में स्टैक नहीं है, लेकिन एक अलग तरीके से आवंटित एक हिस्सा है।



जबकि सब कुछ एक प्रक्रिया की सीमाओं के भीतर हुआ, अधिकतम जो हम कर सकते हैं वह इस प्रक्रिया को खराब करना है और उस उपयोगकर्ता खाते के साथ कुछ बुरा करना है जहां से इसे लॉन्च किया गया है।

कैसे अपनी प्रक्रिया से बाहर निकलें और एक्स-सर्वर में प्रवेश करें

एक्स-सर्वर प्रक्रिया (समान / यूएसआर / एक्स 11 / बिन / एक्स) रूट विशेषाधिकारों के साथ काम करती है। और अगर हमें इस प्रक्रिया के संदर्भ में हमारे कोड को निष्पादित करने का एक तरीका मिल जाए, तो हम इच्छित लक्ष्य को प्राप्त कर लेंगे।



X सर्वर के एड्रेस स्पेस में मेमोरी का एक टुकड़ा पाने के लिए, हम MIT-SHM एक्सटेंशन का उपयोग करेंगे। सामान्य तौर पर, प्रोटोकॉल जिसके द्वारा एक्स सर्वर ग्राहक कार्यक्रमों के साथ आदान-प्रदान करता है, वह बड़ा और वजनदार होता है, और इसमें विभिन्न उद्देश्यों के लिए अलग-अलग समय पर आविष्कार किए गए कई एक्सटेंशन होते हैं। विशेष रूप से, एमआईटी-एसएचएम एक बहुत ही सरल समस्या हल करता है। मान लीजिए हमें स्क्रीन पर एक बड़ी बिटमैप छवि प्रदर्शित करने की आवश्यकता है। ऐसा करने के लिए, हमें किसी तरह क्लाइंट प्रोसेस से सर्वर को बहुत सारे बाइट्स भेजने चाहिए जो इस रैस्टर (पिक्समैप) को बनाते हैं। लेकिन अगर क्लाइंट और सर्वर एक ही मशीन पर रहते हैं, तो इन सभी बाइट्स को कर्नेल और इसके विपरीत पर कॉपी करने के लिए संसाधनों को खर्च करना आवश्यक नहीं है; इसके बजाय, आप साझा मेमोरी का एक टुकड़ा आवंटित कर सकते हैं जो दोनों प्रक्रियाओं की आभासी मेमोरी में मैप किया जाएगा - यह एमआईटी-एसएचएम करता है।



हम इस एपीआई का उपयोग अपने उद्देश्यों के लिए कर सकते हैं और एक्स-सर्वर की सभी उपलब्ध मेमोरी को हमारे एड्रेस स्पेस में लगभग निम्नलिखित तरीके से मैप कर सकते हैं:

shm_seg_size=shmmax

while shm_seg_size >= PAGE_SIZE

shm_seg=shmget(..., shm_seg_size,...)

XShmAttach(..., shm_seg...)

, shm_seg_size/=2







(शमेक्स अधिकतम संभव मेमोरी साइज है जिसे शमट को आबंटित किया जा सकता है, / proc / sys / कर्नेल / शमैक्स में पाया जा सकता है)



यदि सब कुछ ठीक है, तो आवंटित अनुभागों में से एक स्टैक स्थान के ठीक बाहर होगा, लेकिन हम अभी तक यह नहीं जानते हैं कि सर्वर साइड पर साझा मेमोरी पते हमारे से बिल्कुल अलग हैं। एक टिडबिट को खोजने के लिए, हम एक्स-प्रोटोकॉल के सामान्य साधनों द्वारा विजेट से पिरामिड को ढेर कर सकते हैं, और फिर एक कमांड भेजेंगे जो एक पुनरावर्ती ट्रैवर्सल का कारण बनेगा (लेख [2] में कहा गया है कि यह किसी फ़ंक्शन एफ के बारे में है जो पुनरावर्ती रूप से काम करता है, शायद इसे खोदकर प्राप्त किया जा सकता है। एक्स स्रोत;))। नतीजतन, प्रक्रिया स्टैक से बाहर निकल जाएगी, लेकिन कोई भी कुछ भी नोटिस नहीं करेगा, क्योंकि निम्नलिखित पते पहले से ही एक्सशमेटिक द्वारा आवंटित किए गए हैं। और फिर, हमारे हिस्से के लिए, हम मेमोरी को देखेंगे और एक सेक्शन ढूंढेंगे जिसमें नॉनज़रो बाइट्स हैं (ज़मोस के साथ चयनित अनुभागों को बंद कर दें)।



और अब एक बार फिर हम कुख्यात पुनरावर्ती फ़ंक्शन एफ को लॉन्च करेंगे, और जब यह काम करेगा, तो हम उस स्टैक पर लिखेंगे जो हमें पसंद है, अर्थात्, नए रिटर्न पते। यहां आप पहले से ही क्लासिक शोषण तकनीकों को लागू कर सकते हैं, जैसे कि रिटर्न-टू-लिबेक , मुख्य बात यह है कि समय पर स्टैक को बदलना है जबकि फ़ंक्शन चल रहा है (हां, मुझे एएसएलआर के बारे में पता है, लेकिन इस लेख के भाग के रूप में हम मानेंगे कि हमने इसे किसी तरह से हराया है;) )

और अब क्या करना है?

खैर, सबसे पहले, आप अपडेट की प्रतीक्षा कर सकते हैं। लिनुस टॉर्वाल्ड्स (व्यक्तिगत रूप से!) ने एक पैच जोड़ा जो ढेर और मिमीप के लिए उपलब्ध स्टैक और एड्रेस स्पेस के बीच एक अनलॉक्ड पेज से एक अवरोध बनाता है। नतीजतन, यदि स्टैक के लिए पर्याप्त मेमोरी नहीं है, तो प्रोग्राम एक बिना पते के लिखने और SIGBUS में गिरने की कोशिश करेगा (जो निश्चित रूप से, बहुत अच्छा नहीं है, लेकिन स्पष्ट रूप से एस्केलेटिंग विशेषाधिकारों से बेहतर है)। गुठली 2.6.35.2 और 2.6.34.4 में यह फिक्स पहले ही पेश किया जा चुका है।



यदि किसी कारण से आप कर्नेल को बदलना नहीं चाहते हैं, तो आप Morg-SHM को xorg.conf फ़ाइल में बंद कर सकते हैं:



Section "Extensions"

Option "MIT-SHM" "disable"

EndSection







सच है, यह एक ही भेद्यता पर अन्य संभावित बदलावों से नहीं बचाएगा।

संदर्भ

• [१] द इनविजिबल थिंग्स लैब के ब्लॉग पर समाचार - वास्तव में, प्रस्तावना ठीक-ठीक आधारित थी
• [२] रफाल वोजटचुक ( PDF ) द्वारा लिनक्स पर चलने वाले Xorg सर्वर में बड़ी मेमोरी प्रबंधन कमजोरियों को उजागर करना
  
  
• [३] गेल डेलेलु, लार्ज मेमोरी मैनेजमेंट कमजोरियां ( पीडीएफ ) विभिन्न ऑपरेटिंग सिस्टम में ज्ञात मेमोरी कमजोरियों का एक उत्कृष्ट अवलोकन है।