|
http://www.hackerschool.org/HS_Boards/zboard.php?id=advisory&no=7 [복사]
리눅스 시스템은 모듈이라는 것을 제공합니다.
모듈이란, 커널 레벨에서 작동하는 프로그램이 메모리에 동적으로
적재되어 커널의 기능을 보완해주는 역할을 합니다.
다음의 모듈을 컴파일하여 메모리에 적재하면 이 취약점에 대한
공격을 방어할 수 있습니다.
[방어 모듈 소스 코드]
위 코드를 모두 복사하여 다음과 같이 brk_fix.c로 생성합니다.
================================================
[root@work root]# cat > brk_fix.c
[붙여넣기]
[CTRL+D]
[root@work root]#
================================================
혹은 ftp나 rz 등으로 위 소스 파일을 업로드하여도 됩니다.
파일 생성 후에는 다음과 같이 컴파일 합니다.
================================================
[root@work root]# gcc -c brk_fix.c
[root@work root]# ls brk_fix.o
brk_fix.o
[root@work root]#
================================================
위처럼 brk_fix.o라는 파일이 생성되었다면 컴파일이 성공한
것입니다. 반면에, 다음과 같은 에러가 출력되면서 컴파일에
실패하는 경우도 있습니다.
==============================================================
[root@work root]# gcc -c brk_fix.c
brk_fix.c: In function `init_module':
brk_fix.c:74: `PAGE_OFFSET' undeclared (first use in this function)
brk_fix.c:74: (Each undeclared identifier is reported only once
brk_fix.c:74: for each function it appears in.)
brk_fix.c:83: `do_brk' undeclared (first use in this function)
brk_fix.c:114: union has no member named `usecount'
brk_fix.c: In function `my_brk':
brk_fix.c:136: `PAGE_OFFSET' undeclared (first use in this function)
brk_fix.c:141: `do_brk' used prior to declaration
[root@work root]#
==============================================================
이 경우는 컴파일에 필요한 헤더가 설치되지 않았기 때문이며,
다음 압축 파일을 다운받아 현재 폴더에 복사해 넣습니다.
[헤더 파일 모음]
받았다면, 다음과 같이 압축을 해제합니다.
============================================
[root@work root]# tar xvfz include.gzip
include/acpi/
include/acpi/actypes.h
include/acpi/actbl2.h
include/acpi/actbl1.h
... 생략 ...
[root@work root]#
============================================
압축해제 후에 다시 다음과 같이 -I 옵션을 추가하여 컴파일합니다.
-I는 대문자 '아이'이며, 헤더 파일의 위치를 지정합니다.
========================================================
[root@work root]# gcc -c brk_fix.c -I./include
[root@work root]# ls brk_fix.o
brk_fix.o
[root@work root]#
========================================================
이제 다음과 같이 컴파일된 모듈을 적재합니다.
==========================================
[root@work root]# insmod brk_fix.o
Module brk_fix loaded.
[root@work root]#
==========================================
만약 다음과 같이 커널 버젼이 맞지 않는다는 에러 메시지가
출력된다면, --force 옵션을 추가로 붙여 에러를 무시하도록 합니다.
brk_fix.o: kernel-module version mismatch
brk_fix.o was compiled for kernel version 2.4.23
while this kernel is version 2.4.20-8.
==========================================================
[root@work root]# insmod brk_fix.o --force
Warning: kernel-module version mismatch
brk_fix.o was compiled for kernel version 2.4.23
while this kernel is version 2.4.20-8
Warning: loading brk_fix.o will taint the kernel: forced load
See http://www.tux.org/lkml/#export-tainted for information about tainted modu
les
Module brk_fix loaded, with warnings
[root@work root]#
==========================================================
혹은, 모듈을 적재할 때 만약 다음과 같은 에러 메시지가 출력
된다면 커널 자체에 시스템 콜 후킹 기능이 제공되지 않는 것이니
"커널 업그레이드"를 통한 패치를 진행할 것을 권장합니다.
==================================================
[root@work root]# insmod brk_fix.o
brk_fix.o: unresolved symbol __start___kallsyms
[root@work root]#
==================================================
방어 모듈을 이용한 패치 작업을 완료하였다면, 다음과
같이 모듈 목록에 포함된 brk_fix를 확인할 수 있을 것입니다.
====================================================
[root@work root]# lsmod | grep brk_fix
brk_fix 1204 1
[root@work root]#
====================================================
이제 만약 공격자가 exploit을 이용하여 root 권한을 획득하려
한다면 다음과 같은 현상이 발생하면서 공격에 실패하게 됩니다.
=============================================================
[user@work user]$ ./kernelbug
[-] Unable to change page protection: Cannot allocate memory
[-] Unable to exit, entering neverending loop.
[1]+ Stopped ./kernelbug
[user@work user]$
=============================================================
또한, 서버 관리자는 다음과 같이 콘솔 화면을 확인하는 방법으로
공격 시도가 있었는지의 여부를 확인할 수 있습니다.
==============================================
[root@work root]# cat /dev/vcs1 (혹은 vcs2)
caught do_brk exploit!!!
caught do_brk exploit!!!
caught do_brk exploit!!!
caught do_brk exploit!!!
caught do_brk exploit!!!
[root@work root]#
==============================================
마지막으로, 서버가 재부팅될 때마다 자동으로 모듈이 적재되도록
/etc/rc.d/rc.local 파일의 끝 부분에 다음의 명령을 추가해 넣습니다.
insmod /root/brk_fix.o --force
|
Hit : 4018 Date : 2003/12/17 10:24
|
25, 
1/1 
멍멍
