[PWN] Linux中的pkeys安全机制及绕过

0000 → Pkey 00001 → Pkey 10010 → Pkey 2…1111 → Pkey 15

00：无权限01：只读（写入禁用）10：无访问（访问禁用）11：读写（无禁用）

区域 A（保护键 Pkey 0）：只读（只能读取，不能写入）区域 B（保护键 Pkey 1）：可读可写（可以读取，也可以写入）区域 C（保护键 Pkey 2）：禁止访问（既不能读取，也不能写入）

Pkey 0：只读Pkey 1：可读可写Pkey 2：禁止访问

000 → Pkey 0001 → Pkey 1010 → Pkey 2011 → Pkey 3100 → Pkey 4101 → Pkey 5110 → Pkey 6111 → Pkey 7

intpkey_alloc(unsignedlong flags, unsignedlong init_access_rights);

intpkey_free(int pkey);

intpkey_mprotect(unsignedlong start, size_t len, unsignedlong prot, int pkey)

#define _GNU_SOURCE#include <stdio.h>#include <stdlib.h>#include <unistd.h>#include <memory.h>#include <sys/mman.h>#include <bpf_insn.h>#include <linux/filter.h>#include <sys/prctl.h>#include <seccomp.h>#include <stddef.h>// __attribute__((constructor))voidthe_curse_of_midas() {struct sock_filter filter[] = {BPF_STMT(BPF_LD | BPF_W | BPF_ABS, offsetof(struct seccomp_data, nr)),// 加载系统调用号到寄存器// BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_execve, 6, 0),// BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_execveat, 5, 0),BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_open, 4, 0),BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_openat, 3, 0),BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_mmap, 2, 0),BPF_JUMP(BPF_JMP | BPF_JEQ | BPF_K, __NR_mprotect, 1, 0),// 只允许上述调用BPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_ALLOW),//其他全killBPF_STMT(BPF_RET | BPF_K, SECCOMP_RET_KILL),    };struct sock_fprog prog = {        .len = sizeof(filter)/sizeof(filter[0]),        .filter = filter,    };if (prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0)) {perror("prctl(NO_NEW_PRIVS)");    }if (prctl(PR_SET_SECCOMP, SECCOMP_MODE_FILTER, &prog) != 0) {perror("prctl(SECCOMP)");    }asm("mov rdx, 0xf;""begin:;""dec rdx;""jz end;""mov rax, 0x14a;"//这里是pkey_mprotect()"xor edi, edi;""mov rsi, 1;""syscall;""jmp begin;""end:;"    );}//自定义pkey，在这里实现了pkeysint _mprotect(void *addr, __int64_t len, int prot){int pkey = (rand()%15)+1;//随机生成pkey 1~15asm volatile("mov rax, %4;"// syscall number"mov rdi, %0;"// 1st arg: addr"mov rsi, %1;"// 2nd arg: len"mov rdx, %2;"// 3rd arg: prot"mov r10d, %3;"// 4th arg: pkey"syscall;"//这里是pkey_alloc()(0x149)        :        : "r"(addr), "r"(len), "r"(prot), "r"(pkey), "i"(0x149)        : "rax", "rdi", "rsi", "rdx", "r10", "rcx", "r11", "memory"    );}voidinit(void *secret){setbuf(stdin, 0);setbuf(stdout, 0);setbuf(stderr, 0);srand(((longlong)rand())>>24);int fd = open("/flag", 0, 0);read(fd, secret, 0x100);close(fd);the_curse_of_midas();    _mprotect(secret, 0x1000, 7);}char buf[0x100];intmain(){void *secret_of_midas = mmap(0x1000, 0x1000, PROT_READ | PROT_WRITE | PROT_EXEC, MAP_PRIVATE | MAP_ANONYMOUS | MAP_FIXED, -1, 0);init(secret_of_midas);printf("远道而来的年轻人，你也是来寻找弥达斯的秘密吗？\n");read(0, buf, 20);printf(buf);printf("噢不，噢不，你太心急了。\n");    _mprotect(secret_of_midas, 0x1000, 1);sleep(1);printf("那些关于黄金的诅咒，正在这片古老土地的血管里涌动。\n");sleep(1);printf("你应当保持警惕。\n");sleep(1);printf("那么，告诉我你的名字，我将引领你去往神圣之地：\n");read(0, buf, 0x100);printf("有趣。去你想去的地方吧。\n");asm("mov rbp, %0;"        :        : "r"(buf)    );}

0x14a	__NR_pkey_mprotect	给某个页设置权限 + 附加 PKey0x149	__NR_pkey_alloc     分配一个 PKey

asm("mov rdx, 0xf;""begin:;""dec rdx;""jz end;""mov rax, 0x14a;"   // 系统调用号"xor edi, edi;"     // addr = NULL"mov rsi, 1;"       // len = 1"syscall;""jmp begin;""end:;");

int _mprotect(void *addr, __int64_t len, int prot){int pkey = (rand()%15)+1;asm volatile("mov rax, %4;"// syscall number"mov rdi, %0;"// 1st arg: addr"mov rsi, %1;"// 2nd arg: len"mov rdx, %2;"// 3rd arg: prot"mov r10d, %3;"// 4th arg: pkey"syscall;"        :        : "r"(addr), "r"(len), "r"(prot), "r"(pkey), "i"(0x149)        : "rax", "rdi", "rsi", "rdx", "r10", "rcx", "r11", "memory"    );}

_mprotect(secret, 0x1000, 7);

_mprotect(secret, 0x1000, 7);

PROT_READ(1) |PROT_WRITE(2) |PROT_EXEC(4)