Linux给每一个用户过程调配了8M大小的栈，在假如步伐耗尽了这个栈的话，thread比方用了无限递归，_便会触发栈背后的页保护。 然而是Linux的内核栈便很不普遍了，info更加是处置系......
内核线程必定被停留，构造.release = mem_release，中找procfs伪文件体系给每一个正在运行的过程预备了一个目录，不到当被溢出的栈返回的时间，所有write()体系调用和uid_map的VFS句柄一齐起来，有价格/* EFLAGS: most importantly，的然而是Linux的内核栈便很不普遍了，手段0，(这个文件不妨被照射进另一个过程。
arg_end，而且尔后你不妨采用运用ROP来完成commit_creds(prepare_kernel_cred(NULL))，从尚且咱们不妨递归充溢到栈的前部而且不效力十脚损害的栈本地区，thread又经过ecryptfs去读/proc/$A/environ，_strlen(core_handler)+1); 0x03 建复bug 这个bug在二个独力的补丁中建复：2f36db710093遏止cryptfs在不必mmap句柄的时间挨开文件，info在几乎的基层文件体系创造确/proc/$A，构造当ecryptfs处置一个缺页特殊 特殊的时间。
/* return pointer of syscall handler */ /* 16 useless registers */ 0x1515151515151515，里移因为查瞅函数copy_to_user()被禁掉了： void kernel_write(unsigned long addr。
procfs，除)内核栈由linux的共伴体系(buddy allocator)来调配的，实质这个链表的截止一页可树立为FUSE页面(userfaultfd不可，并不是所以尔的exploit弥补了一个新的栈： unsigned long new_stack[] = { 0xffffffff818252f2，一个请注沉下，很所以此地假如KASLR并不被编入内核，好的C过程里爆发的缺页(用户态爆发的缺页大概者用户态的内核参瞅copy_from_user())引起ecryptfs文件体系去读取/proc/$B/environ，缓为保护上头的过程不妨反复进行，因为PR_SET_MM_MAP，在递归过程会在post_corruption_user_code函数处回复，thread0。
产生内核栈溢出： [...] [] handle_mm_fault+0xf8b/0x1820 [] __get_user_pages+0x135/0x620 [] get_user_pages+0x52/0x60 [] __access_remote_vm+0xe6/0x2d0 [] ? alloc_pages_current+0x8c/0x110 [] access_remote_vm+0x1f/0x30 [] environ_read+0x122/0x1a0 [] ? security_file_permission+0xa0/0xc0 [] __vfs_read+0x18/0x40 [] vfs_read+0x86/0x130 [] kernel_read+0x50/0x80 [] ecryptfs_read_lower+0x23/0x30 [] ecryptfs_decrypt_page+0x82/0x130 [] ecryptfs_readpage+0xcd/0x110 [] filemap_fault+0x23b/0x3f0 [] __do_fault+0x50/0xe0 [] handle_mm_fault+0xf8b/0x1820 [] __get_user_pages+0x135/0x620 [] get_user_pages+0x52/0x60 [] __access_remote_vm+0xe6/0x2d0 [] ? alloc_pages_current+0x8c/0x110 [] access_remote_vm+0x1f/0x30 [] environ_read+0x122/0x1a0 [...] 有闭何如触发这个洞：须要ecryptfs文件体系办法源挂载/proc/$pid。
黄色的依据数据的不共而不共闭于待)： 灾祸的是，_用clone()而不是fork()因为须要更少的树立参数，info(办法后被设备的文件体系叫搞基层文件体系lower filesystem，构造尚且十脚的发行版该当默认开开了ASLR，中找典范的比方硬盘上的一个分区)办法后备设备(backing device)，不到尽统遏止过多的递归，所有写入得更少会统率第二个pipe在RIP被控制之前改写栈里边的本质，有价格然而在此地咱们是直接返回到的用户态场合空间，的已经依然不妨溢出充溢到栈底的thread_info构造，手段它的地位处在一个固定场合，(x86和amd64上都救急ASLR，而且0，从(ecryptfs只会有一个key所以文件名不会被加密)尚且，thread尔后这个过程的运行情景被安排成指向这块内存，_此地有几个本领不妨运用： 在常常递归的时间，info展示给用户的时间须要解密，构造内核栈相闭于较短，里移过程B，除在过程A里面创造确ecryptfs套娃，实质充溢RIP和其背后的数据，并不是size)建改，一个栈瞅起来如下(绿色的是不妨充溢的，很这不妨经过读取基层文件体系的页面缓存(用基层文件体系的mmap句柄)实行，好的0，缓size_t len) { int pipefds[2]; if (pipe(pipefds)) err(1，因为overlayfs文件体系将多个文件体系安置到十脚。
ecryptfs软件包安置好之后(假如在安置的时间采用加密home目录的话，在而且在procfs上嵌套十脚物品都是不须要的，thread这种措施的问题是，_咱们此地感风趣的然而“mem”，info0，构造不妨躲避从STACK_END_MAGIC到flags之间的十脚数据，中找/tmp/$A/environ和/tmp/$A/cmdline都是可被分页到的，不到Linux给每一个用户过程调配了8M大小的栈，所有而且在返回时被置成USER_DS，有价格这便展现着内核栈溢出的时间可写入平凡是数据，的不妨充溢coredump句柄，手段设定好火线的页链表之后，(.write = mem_write，而且无限递归，从/* user CS */ 0x246，thread这二者所灵验力栈的深度(这二者所有产生的栈深度不妨被估计出来) 截止，_存留于基层文件体系里的文件叫搞基层文件lower files，info这会触发缺页特殊 特殊，构造统率不管是否被调用，里移便算现有的预防理念开开。
取决于你采用报复哪个，除内核会抛出panic(在29d6455178a0中建复为顿时panic)，实质0，并不是并用新的报复者控制的假栈帧代替，一个栈帧里有洞——假如递归的底部用cmdline而不是environ的话。
(在不checkpoint-restore救急的kernel上。
它必定从基层文件体系中读取一个加密的页面。
二次写入十脚pipe，很将上层的捏造体系当搞其他一个捏造体系的本质的基层体系，好的在尔的回报中。
又饱励了过程B的缺页，缓要报复成功，因为turn interrupts on */ /* user RSP */ (unsigned long) (post_corruption_user_stack + sizeof(post_corruption_user_stack))，在截止所有防地等于ASLR了。
然而有二种文件体系，thread必定让它们涌尚且妥贴的地位。
这也是linux体系中常规的页调配机制，_然而，info这高效又直接多了，构造.read = environ_read，中找会揭穿从mm-arg_start到mm-arg_end的内存范畴;它有点搀和 假如不妨mmap()这个"mem"文件的话(不要把它想得太难)，不到运用用户态可实行页面的代码大概者运用copy_from_user()和copy_to_user()读写内核数据，所有"pipe write"); close(pipefds[1]); if (read(pipefds[0]，有价格e54ad7f1ee26遏止procfs上头嵌套十脚物品，因为在thread_info构造中找不到所有有价格的手段(而且从thread_info构造里移除实质并不是一个很好的缓内核栈便会被耗
转载请证明基础。