源码调试脏牛运行过程

调试代码

把POC阉割一下好调试

#include <stdio.h>
#include <sys/mman.h>
#include <fcntl.h>
#include <pthread.h>
#include <unistd.h>
#include <sys/stat.h>
#include <string.h>
#include <stdint.h>

struct stat st;
int f;
void *map;
char *name;

void *procselfmemThread(void *arg);

int main(int argc, char const *argv[])
{
	if(argc < 3)
	{
		(void)fprintf(stderr, "%s\n", "usage: dirtycow target_file new_content");
		return 1;
	}
	pthread_t pth1,pth2;

	f = open(argv[1], O_RDONLY);
	fstat(f, &st);
	name = argv[1];

	map = mmap(NULL, st.st_size, PROT_READ, MAP_PRIVATE, f, 0);
	printf("mmap %zx\n", (uintptr_t)map);
	getchar();//为了调试
	procselfmemThread(argv[2]);

	close(f);

	return 0;
}

void *procselfmemThread(void *arg)
{
	char *str;
	str = (char *)arg;

	int f = open("/proc/self/mem", O_RDWR);
	int i = 0;
	lseek(f, (uintptr_t)map, SEEK_SET);
	write(f,str,strlen(str));
	i++;
	
	close(f);
}

mem_write函数的调用链

因为当write往/proc/self/mem写的时候，是调用的mem_write函数

调用链如下
mem_write ->
	mem_rw ->
		access_remote_vm ->
			__access_remote_vm

调试过程

https://elixir.bootlin.com/linux/v4.7/source/mm/memory.c

主要是先关注__access_remote_vm这函数，主要是关注下面这几行代码

			maddr = kmap(page);//将page映射到内核地址
			if (write) { //因为我们是写操作，所以write是1
				copy_to_user_page(vma, page, addr,      //就会调用copy_to_user_page往page里写buf
						  maddr + offset, buf, bytes);
				set_page_dirty_lock(page);//设置为脏页
			} else {
				copy_from_user_page(vma, page, addr,
						    buf, maddr + offset, bytes);
			}

这个page是怎么得到的呢，可以往上看到第3737行，它是调用get_user_pages_remote去获取了一个page

		ret = get_user_pages_remote(tsk, mm, addr, 1, write, 1, &page, &vma);

然后我们跟入进去，它只是__get_user_pages_locked的封装

进入到__get_user_pages_locked，首先write是1，会给flags加上一个FOLL_WRITE，然后调用__get_user_pages函数

第一次调用follow_page_mask（原因是缺页）

进入到__get_user_pages，do前面是对VMA虚拟空间的一些操作，不用看，重点看红框的

首先调用了cond_resched函数，调度别的任务，这样就提供了一个竞态条件

然后调用follow_page_mask函数去寻找一个page，如果没有找到page，就进入下面的if判断，调用faultin_page函数进行缺页异常处理

那我们来看看follow_page_mask是怎么找page的，它的功能主要是从一级目录二级目录等等来寻找页表项的过程，可以通过阉割版的POC来动态调试看看

我们在cond_resched下个断点

pwndbg> b mm/gup.c:573
Breakpoint 1 at 0xffffffff8114db5d: file mm/gup.c, line 573.
pwndbg> c
Continuing.
然后qemu里面回车，就是我们之前getchar的地方

步进，执行完574行，我们再看看page和mmap地址处的值是多少

可以发现，page的值是0，说明没有找到合适的page，而且mmap处的地址不可访问，说明还没有分配到物理地址

我们来看看page的0是怎么返回的，回到follow_page_mask，上面说过这个函数就是去找页表项的，那么前面的函数我们不看，直接去看最后一级页目录是怎么找页表项PTE的

因为刚开始最后一级页表项肯定是空的，所以直接看87行，直接跳转到no_page，会调用no_page_table，然后返回了NULL

然后退回去，page得到是NULL，进入下面if分支，调用faultin_page进行缺页处理

进入到faultin_page函数，之前flags就设置了FOLL_WRITE的标志，所以会给fault_flags加上FAULT_FLAG_WRITE标志，说明这是因为写操作造成的缺页异常

之后会调用handle_mm_fault

可以在378行下断点看看

pwndbg> b mm/gup.c:378
Breakpoint 2 at 0xffffffff8114dbb2: file mm/gup.c, line 378.

然后执行完这个函数看看，发现可以访问mmap的地址了，里面的值就是ABCDEFG等等，也就是文件里的内容

现在我们就可以看看handle_mm_fault究竟做了什么

前面不用看，然后再看看__handle_mm_fault，这个函数前面的都跟我们分析没什么关系，主要看最后return返回时调用的函数

handle_pte_fault函数，首先先把*pte给了entry，这里entry是为空的，而且vma是私有映射，最后会调用do_fault函数

然后进入到do_fault看看，因为我们flags有FAULT_FLAG_WRITE没有VM_SHARED，注意if里的取反符号，所以最后调用的是do_cow_fault函数做COW操作，所以之前的mmap能访问到数据，就是因为这里做了COW，做了一个副本

第二次调用follow_page_mask（原因是没有写权限，有FOLL_WRITE标志）

发现第二次调用page还是0，但是我们的mmap是有了实际的物理地址，但为什么page还是为0呢

我们重新进入follow_page_mask，然后进入follow_page_pte查找页表项这个函数，第一次我们pte是空的，所以进入的no_page了，第二次我们pte不为空了，而且flags标志有了FOLL_WRITE，但是pte是不可写的，因为我们的文件是只有root才有写权限，所以最后还是返回的NULL