Модель консоли: Все PSP
Прошивка: 5.00 m33-6
Регистрация: 20.01.2010
Сообщений: 3,422
Вы сказали Спасибо: 2,375
Поблагодарили 1,617 раз(а) в 874 сообщениях
Сила репутации: 1Репутация: 1624
(обеспечено прекрасное будущее)
|
Поиск kernel эксплоитов, инструкция
Большое спасибо Davee и some1 за всё.
Сегодня я хочу вам рассказать про поиск kernel эксплоитов. Для начала разберемся для чего нам это нужно. PSP имеет много разделов памяти (вы можете посмотреть их ниже в спойлере), но речь пойдет только про 2: user и kernel. Различается память в уровне доступа. Код выполненный с kernel правами (запущенный из модуля с kernel правами) имеет права системы и имеет доступ ко всему, в свою очередь user имеет доступ только к: Scratchpad, VRAM, P5 и Extended Memory (в общем ко всему, кроме kernel).
И так, для чего же нам нужны kernel права? Для того чтобы сделать изменения в прошивке. Проще говоря, создание полноценного HEN или CFW невозможно без наложения патчей на модули системы. Для этого мы и будем получать kernel права. Хочу огорчить, вам необходимы знания языка Си и ассемблера под архитектуру MIPS (чтобы изучить прочти всё про MIPS в разделе "Интересные ссылки" (см. в конец)).
- В прошивке PSP модули подразделяются на 2 категории: user и kernel. Права модулей различаются соответственно. User модули грузятся в user память, kernel модули грузятся в kernel память. Ниже приведен список kernel модулей.
Первое, что вы должны сделать - это дизассемблировать модули из списка выше. Для этого используйте программу prxtool.
- Если модуль не загружен, вы можете попробовать загрузить его функцией sceUtilityLoadModule(int module_id).
- Для того чтобы получить kernel права мы должны сделать jump (jr, jalr) из kernel модуля на свой код, который может быть в любом участке памяти. Не будем изобретать велосипед и будем использовать уже известный метод. Это использование функции sceKernelLibcTime.
Посмотрим в код модуля sysmem.prx, который и содержит функцию sceKernelLibcTime, найдите его, задав поиск по тексту. Я напишу его в двух вариациях, смотрите на второй. Первый понадобится позже.
Чистый
sceKernelLibcTime:
lui $v1, 0x0 ; 0x0000F794: 0x3C030000 '...<'
lw $a1, 2244($v1) ; 0x0000F798: 0x8C6508C4 '..e.'
addiu $sp, $sp, -16 ; 0x0000F79C: 0x27BDFFF0 '...''
sw $s0, 0($sp) ; 0x0000F7A0: 0xAFB00000 '....'
sll $v1, $k1, 11 ; 0x0000F7A4: 0x001B1AC0 '....'
move $s0, $k1 ; 0x0000F7A8: 0x03608021 '!.`.'
sw $ra, 4($sp) ; 0x0000F7AC: 0xAFBF0004 '....'
beqz $a1, loc_0000F7CC ; 0x0000F7B0: 0x10A00006 '....'
move $a2, $zr ; 0x0000F7B4: 0x00003021 '!0..'
move $k1, $v1 ; 0x0000F7B8: 0x0060D821 '!.`.'
and $v1, $v1, $a0 ; 0x0000F7BC: 0x00641824 '$.d.'
bgez $v1, loc_0000F7E0 ; 0x0000F7C0: 0x04610007 '..a.'
nop ; 0x0000F7C4: 0x00000000 '....'
loc_0000F7C8: ; Refs: 0x0000F7E8
move $k1, $s0 ; 0x0000F7C8: 0x0200D821 '!...'
loc_0000F7CC: ; Refs: 0x0000F7B0
lw $ra, 4($sp) ; 0x0000F7CC: 0x8FBF0004 '....'
lw $s0, 0($sp) ; 0x0000F7D0: 0x8FB00000 '....'
move $v0, $a2 ; 0x0000F7D4: 0x00C01021 '!...'
jr $ra ; 0x0000F7D8: 0x03E00008 '....'
addiu $sp, $sp, 16 ; 0x0000F7DC: 0x27BD0010 '...''
loc_0000F7E0: ; Refs: 0x0000F7C0
jalr $a1 ; 0x0000F7E0: 0x00A0F809 '....'
nop ; 0x0000F7E4: 0x00000000 '....'
j loc_0000F7C8 ; 0x0000F7E8: 0x08003DF2 '.=..'
move $a2, $v0 ; 0x0000F7EC: 0x00403021 '!0@.'
Прочитав псевдокод функции sceKernelLibcTime вы видите, что мы можем сделать jump на любой адрес, но нам мешает операция "ЦЕЛЬ" по адресу 0x0000F798. Нужно её уничтожить. А уничтожать можно любой инструкцией, которая не взаимодействует с $a1. В идеале это nop (0x00000000). Проще говоря мы должны забить нулями 4 байта по адресу 0x0000F798 в модуле sysmem.prx. Но не тут то было. Мы не можем этого сделать из программы с user правами, ведь вы помните: к kernel памяти из user нет доступа.
Кстати, забивать нулями мы должны 4 байта в памяти, то есть адрес_модуля+адрес_инструкции_в_модуле. sysmem.prx всегда находится по адресу 0x88000000, поэтому реальный адрес будет 0x88000000 + 0x0000F798 = 0x8800F798.
Теперь предопределим цель следующего пункта. Мы должны зануллить 4 байта памяти по адресу 0x8800F798.
- И вот опять незадача. Адрес 0x8800F798 это kernel память к которой мы не имеем доступа из user памяти.
Использовать kernel память мы можем только из kernel модулей. Для этого мы будем использовать функции из kernel модулей. Использовать можно лишь те функции, которые экспортированы в user память.
Поставим подцель. Мы должны иметь полный контроль над sw, sh или sb инструкцией в kernel функции.- sw $a0, C($a1) - эта инструкция позволяет заполнить 4 байта ($a0) в памяти по адресу $a1 + C
Пример использования:
li $a0, 0x12345678 ; значение
li $a1, 0x88000000 ; адрес
sw $a0, 0($a1)
- sh $a0, C($a1) - эта инструкция позволяет заполнить 2 байта ($a0) в памяти по адресу $a1 + C
Пример использования:
li $a0, 0x1234 ; значение
li $a1, 0x88000000 ; адрес
sh $a0, 0($a1)
- sb $s0, C($a1) - эта инструкция позволяет заполнить 1 байт ($a0) в памяти по адресу $a1 + C
Пример использования:
li $a0, 0x12 ; значение
li $a1, 0x88000000 ; адрес
sb $a0, 0($a1)
Допустим у нас есть функция:
sceLolFunc1:
sw $zr, 0($a0)
Мы можем напрямик записать 0x00000000 в любой адрес памяти, но такие функции это мечта и таких, увы, не бывает (по крайней мере импортированных в user). Sony хорошо защитила код от посягательств на kernel память и сейчас мы рассмотрим как.
- Есть такой регистр: $k1. Изначально он равен 0x00010000.
Рассмотрим пример защищённой функции:
sceLolFunc2:
sll $k1, $k1, 11 ; k1 << 11 = 0x80000000
and $v1, $k1, $a0 ; Если один из аргументов будет = 0
; то v1 будет = 0.
bgezl $v1, loc1 ; Переход к подпрограмме loc1 если v1 >= 0.
ret:
jr $ra ; выход
loc1:
sw $zr, 0($a0) ; делаем заветное sw
j ret ; перенаправление на выход (ret)
Чтобы перейти к подпрограмме с sw нам нужно выполнить условие: v1 >= 0. Если вы подумали, что 0x8800F798 это положительное число, то это неправда. Просто число записано в типе u32. Чтобы узнать реальное число (signed) отнимите u32 число от 0xFFFF. signed=0xFFFF-u32.
Но не суть. Мы можем только сделать 1 аргумент нулем чтобы условие оказалось верно. И это будет k1, т.к. a0(аргумент функции) не может быть равен 0, так как он должен быть 0x8800F798.
- Теперь сделаем k1 нулем. Это просто, но не просто найти подходящую функцию.
Допустим есть ещё 1 функция sceLolFunc3:
sceLolFunc3:
sll $k1, $k1, 11 ; k1 = 0x80000000
move $a0, $a0 ; просто чтобы было видно что аргумент
; текущей функции управляет аргументом функции sceLolFunc2
jal sceLolFunc2
nop
sceLolFunc2:
sll $k1, $k1, 11 ; k1 = 0x40000000000, но k1 вмещает
; только 32 бита, то есть k1 будет равен 0x00000000
and $v1, $k1, $a0 ; v1 будет = 0
bgezl $v1, loc1 ; и мы спокойно пройдем ЭТУ проверку
ret:
jr $ra
loc1:
sw $zr, 0($a0) ; и зарисуем нолик в нужный адрес
j ret
- Теперь напишем эксплоит для наших выдуманных функций:
void clear_caches()
{
sceKernelIcacheInvalidateAll();
sceKernelDcacheWritebackInvalidateAll();
}
int kernel_permission_call()
{
// код с kernel правами
return 0;
}
void do_exploit()
{
sceLolFunc3(0x8800F798); // перетираем нулем 4 байта (u32) значение по адресу 0x8800F798
// тем самым убиваем заглушку второго аргумента в функции sceKernelLibcTime
clear_caches();
u32 intr = pspSdkDisableInterrupts();
sceKernelLibcTime(0, &kernel_permission_call); // делаем jump на kernel_permission_call
pspSdkEnableInterrupts(intr);
}
- После того как эксплоит выполнен важно сделать восстановление kernel памяти.
- Cнимите дамп kernel памяти до и после выполнения эксплоита.
Снимаем дамп
В psplink даем команду:
savemem 0x88000000 0x400000 dumpname.bin
- Назовите их before.bin и after.bin соответственно.
- Положите их рядом с этой прогой: recovery_sysmem.rar.
- Запустите прогу.
- Получите на выходе файл output.c с функцией sysmem_recovery().
- Примените эту функцию в kernel_permission_call.
- А теперь соберем всё воедино:
void clear_caches()
{
sceKernelIcacheInvalidateAll();
sceKernelDcacheWritebackInvalidateAll();
}
void recovery_sysmem()
{
_sw(0x8C6508C4, 0x8800F798)
}
int kernel_permission_call()
{
recovery_sysmem();
clear_caches();
// код с kernel правами
return 0;
}
void do_exploit()
{
sceLolFunc3(0x8800F798); // перетираем нулем 4 байта (u32) значение по адресу 0x8800F798
// тем самым убиваем заглушку второго аргумента в функции sceKernelLibcTime
clear_caches();
u32 intr = pspSdkDisableInterrupts();
sceKernelLibcTime(0, &kernel_permission_call); // делаем jump на kernel_permission_call
pspSdkEnableInterrupts(intr);
}
- Интересные ссылки:
Последний раз редактировалось frostegater; 15.11.2012 в 13:25.
|