[Linux Kernel] KADR 우회

root 계정으로 qemu 실행

setsid cttyhack setuidgid 0 sh

init script 안에서 위처럼 수정하면 된다.

kernel 내의 init script 찾기

/, /etc/init.d 확인

kptr_restrict

• 0: 제한 없음. /proc/kallsyms 등의 파일을 통해 모든 사용자가 커널 심볼 주소를 볼 수 있다.
• 1: 커널 심볼 주소를 root 사용자만 볼 수 있다.
• 2: 모든 사용자에게 커널 심볼 주소를 숨긴다. 심볼 이름만 볼 수 있고 주소는 숨겨짐.

설정 방법

sysctl -w kernel.kptr_restrict=0

perf_event_paranoid

• -1: 모든 사용자가 전체 성능 모니터링 기능을 사용할 수 있습니다.
• 0: 비루트 사용자도 시스템 전반에 걸친 성능 모니터링이 가능합니다. (kernel & user-space events)
• 1: 비루트 사용자는 자신의 애플리케이션에 대해서만 성능 모니터링이 가능합니다. (user-space events only)
• 2: 비루트 사용자는 성능 모니터링을 사용할 수 없습니다. 오직 root 사용자만 모든 성능 이벤트에 접근 가능합니다.

설정 방법

sysctl -w kernel.perf_event_paranoid=0

reference

• https://www.lazenca.net/display/TEC/02.Debugging+kernel+and+modules#id-02.Debuggingkernelandmodules-KernelAddressDisplayRestriction(KADR)