1 of 104

Linux & Security

2021-11-15 @ KNI Kernel AGH UST

By Disconnect3d

1

2 of 104

# whoami

Absolwent (mgr inż) WFiIS AGH
Kiedyś prezes KNI Kernel :)
Senior Security Engineer @ Trail of Bits
Kapitan teamu CTFowego justCatTheFish

�@disconnect3d_pl�https://disconnect3d.pl/

3 of 104

#sponsors

3

4 of 104

4

5 of 104

Trail of Bits

Blog: https://blog.trailofbits.com/ oraz https://trailofbits.com/

Assurance (AppSec, Cryptography, Blockchain)
Engineering
Research & Development

Sporo klientów/produktów:�Kubernetes, HashiCorp, Microsoft, Zoom, Parity, blockchainy, etc.

Publikacje: https://github.com/trailofbits/publications

Ofc zatrudniamy, również na płatne staże (full remote): https://jobs.lever.co/trailofbits/

5

6 of 104

6

https://programistamag.pl/

7 of 104

User Space vs Kernel Space

7

8 of 104

User Space vs Kernel Space

Source: https://imgur.com/Oufl1R1 (or https://www.reddit.com/r/AskProgramming/comments/7wzkj7/user_space_and_kernel_space/)

8

9 of 104

User Space vs Kernel Space

Source: https://imgur.com/Oufl1R1 (or https://www.reddit.com/r/AskProgramming/comments/7wzkj7/user_space_and_kernel_space/)

9

IZOLACJA

+ kernel może “wszystko”

10 of 104

Jak to właściwie jest odseparowane?

==> ficzery architektur procesorów!

10

11 of 104

Intel Architecture Protection Rings

Via https://en.wikipedia.org/wiki/Protection_ring

11

12 of 104

Intel Architecture Protection Rings

Via https://en.wikipedia.org/wiki/Protection_ring

12

FWIW de facto tylko ring0 i ring3 są używane �w Linuxie*

13 of 104

ARM privilege/exception levels

Via: https://developer.arm.com/documentation/102412/0100/Privilege-and-Exception-levels

13

14 of 104

ARM privilege/exception levels

Via: https://developer.arm.com/documentation/102412/0100/Privilege-and-Exception-levels

14

Kernel space

User space

15 of 104

Wywołania systemowe�(syscalle)

czyli sposób na gadanie z kernelem

15

16 of 104

Syscalle

Wywołania systemowe aka “syscalle”

fopen (3) woła open (2)

Możemy to podejrzeć

Strace, ltrace
Bonus (unrelated): pspy

Syscall table ftw

Ciekawe syscalle:

ioctl - customowa komunikacja z urządzeniami
socket - może załadować moduł kernela jako efekt uboczny

16

#include <stdio.h>

int main() {

FILE* fp = fopen("plik", "w");

// TODO: check fp == NULL

fwrite("content", 4, 1, fp);

fclose(fp);

}

17 of 104

Syscalle

Wywołania systemowe aka “syscalle”

fopen (3) woła open (2) albo openat(2)

Syscall table ftw

Ciekawe syscalle:

ioctl - customowa komunikacja z urządzeniami
socket - może załadować moduł kernela jako efekt uboczny

17

#include <stdio.h>

int main() {

FILE* fp = fopen("plik", "w");

// TODO: check fp == NULL

fwrite("content", 4, 1, fp);

fclose(fp);

}

* zadziała tylko jak jest wyłączone FULL RELRO

18 of 104

Syscalle

Wywołania systemowe aka “syscalle”

fopen (3) woła open (2) albo openat(2)

Możemy je podejrzeć

Strace, ltrace*

strace strace 🙃

Bonus (unrelated): pspy

Syscall table ftw

Ciekawe syscalle:

ioctl - customowa komunikacja z urządzeniami
socket - może załadować moduł kernela jako efekt uboczny

18

#include <stdio.h>

int main() {

FILE* fp = fopen("plik", "w");

// TODO: check fp == NULL

fwrite("content", 4, 1, fp);

fclose(fp);

}

* zadziała tylko jak jest wyłączone FULL RELRO

19 of 104

Syscalle

Wywołania systemowe aka “syscalle”

fopen (3) woła open (2) albo openat(2)

Możemy je podejrzeć

Strace, ltrace*

strace strace 🙃

Bonus (unrelated): pspy

Syscall table ftw

Ciekawe syscalle:

ioctl - customowa komunikacja z urządzeniami
socket - może załadować moduł kernela jako efekt uboczny

19

#include <stdio.h>

int main() {

FILE* fp = fopen("plik", "w");

// TODO: check fp == NULL

fwrite("content", 4, 1, fp);

fclose(fp);

}

* zadziała tylko jak jest wyłączone FULL RELRO

20 of 104

Syscalle

Wywołania systemowe aka “syscalle”

fopen (3) woła open (2) albo openat(2)

Możemy je podejrzeć

Strace, ltrace*

strace strace 🙃

Bonus (unrelated): pspy

Syscall table ftw

Ciekawe syscalle:

ioctl - customowa komunikacja z urządzeniami
socket - może załadować moduł kernela jako efekt uboczny

20

#include <stdio.h>

int main() {

FILE* fp = fopen("plik", "w");

// TODO: check fp == NULL

fwrite("content", 4, 1, fp);

fclose(fp);

}

* zadziała tylko jak jest wyłączone FULL RELRO

21 of 104

Przykład ioctl na /dev/ptmx(?)�https://github.com/torvalds/linux/blob/fa55b7dcdc43c1aa1ba12bca9d2dd4318c2a0dbf/drivers/tty/pty.c#L652-L671

21

22 of 104

Socket ładujący moduł kernela

#include <sys/socket.h>

#include <netatalk/at.h>

�int main() {

int ddp_socket = socket(AF_APPLETALK, SOCK_DGRAM, 0);

printf("ddp_socket = %d\n", ddp_socket);

}

// DEMO

22

23 of 104

Socket ładujący moduł kernela

#include <sys/socket.h>

#include <netatalk/at.h>

�int main() {

int ddp_socket = socket(AF_APPLETALK, SOCK_DGRAM, 0);

printf("ddp_socket = %d\n", ddp_socket);

}

23

24 of 104

User w Linuxie

24

25 of 104

Nazwa usera to tylko abstrakcja

dc@dc:~$ ps auxf

USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND

root 1 0.0 0.0 164728 11128 ? Ss 18:05 0:00 /sbin/init splash

root 2 0.0 0.0 0 0 ? S 18:05 0:00 [kthreadd]

root 3 0.0 0.0 0 0 ? I< 18:05 0:00 \_ [rcu_gp]

root 4 0.0 0.0 0 0 ? I< 18:05 0:00 \_ [rcu_par_gp]

root 6 0.0 0.0 0 0 ? I< 18:05 0:00 \_ [kworker/0:0H-events_highpri]

[...]

root 1904 0.0 0.0 3148532 12600 ? Sl 18:05 0:01 /opt/teamviewer/tv_bin/teamviewerd -d

dc 2274 0.0 0.0 16240 9676 ? Ss 18:06 0:00 /lib/systemd/systemd --user

dc 5302 0.0 0.0 739576 45856 ? Sl 18:07 0:00 | \_ update-notifier

dc 2520 1.4 0.2 3905684 368372 ? Ssl 18:06 0:36 \_ /usr/bin/gnome-shell

dc 2541 0.0 0.0 320992 11724 ? Sl 18:06 0:00 | \_ ibus-daemon --panel disable --xim

dc 2546 0.0 0.0 243612 7504 ? Sl 18:06 0:00 | | \_ /usr/libexec/ibus-dconf

dc 2547 0.0 0.0 279276 30560 ? Sl 18:06 0:00 | | \_ /usr/libexec/ibus-extension-gtk3

dc 2810 0.0 0.0 169780 7384 ? Sl 18:06 0:00 | | \_ /usr/libexec/ibus-engine-simple

dc 6412 0.1 0.0 771148 71224 ? Sl 18:10 0:03 | \_ /usr/bin/python3 /usr/bin/terminator

dc 6437 0.0 0.0 17396 6016 pts/0 Ss 18:10 0:00 | | \_ /bin/bash

dc 9009 0.0 0.0 18892 4256 pts/0 R+ 18:46 0:00 | | | \_ ps auxf

25

26 of 104