本文深入剖析了PAWNYABLE平台提供的Linux内核漏洞利用教程，聚焦于一个Use-After-Free（UAF）漏洞。文章详细介绍了漏洞的成因，即驱动程序中释放内核缓冲区后未将指针置空，导致可复现的UAF条件。利用过程中，作者阐述了如何结合KASLR绕过、堆喷技术以及ROP链构造来实现控制流劫持和提权。通过tty_struct结构泄露内核基址，并巧妙利用msg_msg结构控制堆布局，最终成功执行提权操作。文章还提及了提高利用可靠性的方法，如校验tty_struct的magic值和使用特定消息类型。

💡 **UAF漏洞成因与利用原理**: 文章指出，Linux内核驱动程序中的一个UAF漏洞源于`module_close`函数在释放`g_buf`后未将其置为NULL，这使得在多次打开和关闭驱动描述符后，可以触发Use-After-Free条件。利用的关键在于通过控制`g_buf`的生命周期来操纵内存，从而实现后续的攻击。

🛡️ **KASLR绕过与信息泄露**: 为了绕过内核地址空间布局随机化（KASLR），攻击者利用了`tty_struct`结构中的`ops`指针。通过读取`tty_operations`指针，可以计算出内核的基址，从而获得内核在内存中的确切地址，为后续的ROP链构造奠定基础。

💥 **控制流劫持与ROP链**: 文章详细描述了如何通过伪造`tty_operations`函数表来实现控制流劫持。利用栈转移gadget（如`push rdx; xor eax, 0x415b004f; pop rsp; pop rbp; ret;`），攻击者能够构建ROP链，依次执行`pop rdi`、`prepare_kernel_cred`、`xchg rdi, rax`和`commit_creds`等指令，最终实现用户权限的提升。

📦 **内存布局操控与堆喷**: 为了提高利用的可靠性和稳定性，攻击者利用了`msg_msg`结构来精确控制堆的布局。通过消息队列机制，可以泄露内核堆地址，并为UAF漏洞的利用提供一个可预测的内存环境。此外，还提到了使用`/dev/ptmx`喷射来实现堆风水，以增加利用的成功率。

✅ **可靠性增强措施**: 为防止内核崩溃并提高利用的成功率，作者采取了多项增强措施，包括校验`tty_struct`的`magic`值（0x5401）以确保目标结构是有效的`tty_struct`，使用特定的消息类型（0x1337）来标识目标`msg_msg`结构，以及修复清理函数指针，避免在利用过程中出现意外的内核崩溃。

PAWNYABLE UAF漏洞解析（Holstein v3）

引言

作者分享了学习Linux内核漏洞利用的历程，重点介绍了PAWNYABLE平台提供的学习资源。该平台包含Linux内核漏洞利用教程，涵盖调试环境搭建、CTF技巧、现代内核防护机制等内容。

技术背景

漏洞类型：驱动程序中的Use-After-Free漏洞关键结构：tty_struct和msg_msg内核数据结构利用技术：KASLR绕过、堆喷（Heap Spraying）、ROP链构造

漏洞分析

驱动程序存在以下问题代码：

char *g_buf = NULL;static int module_open(struct inode *inode, struct file *file) {  g_buf = kzalloc(BUFFER_SIZE, GFP_KERNEL); // 分配内核缓冲区  // ...}static int module_close(struct inode *inode, struct file *file) {  kfree(g_buf); // 释放缓冲区但未置空  return 0;}

通过多次打开/关闭驱动描述符，可创建UAF条件。

利用步骤

KASLR绕过：

利用tty_struct的ops指针泄露内核基址

uint64_t ops = *(uint64_t *)&ops_buf[24]; // 读取tty_operations指针uint64_t base = ops - 0xc39b40ULL; // 计算内核基址

控制流劫持：

伪造tty_operations函数表使用栈转移gadget：

0x14fbea: push rdx; xor eax, 0x415b004f; pop rsp; pop rbp; ret;

ROP链构建：

*rop++ = pop_rdi; *rop++ = 0x0;*rop++ = prepare_kernel_cred; // 获取root凭证*rop++ = xchg_rdi_rax;*rop++ = commit_creds; // 提权

内存布局操控：

使用msg_msg结构精确控制堆布局通过消息队列泄露内核堆地址

可靠性增强

校验tty_struct的magic值（0x5401）使用特定消息类型（0x1337）标识msg_msg结构修复清理函数指针避免内核崩溃

完整利用代码

包含以下关键组件：

/dev/ptmx喷射实现堆风水多阶段UAF触发逻辑用户态-内核态切换的KPTI绕过

延伸阅读

推荐的内核漏洞利用资源：

Grapl Security的IOUring漏洞分析Google Project Zero的CVE-2021-22555分析NCC Group的CVE-2022-32250漏洞报告

特别感谢@ptrYudai和@chompie1337提供的宝贵资源和建议。