War of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Worlds - Hijacking cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Linux Kernel from QSEE

After seeing a full QSEE vulnerability and exploit in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 previous blog post, I thought it might be nice to see some QSEE shellcode in action.

As we've previously discussed, QSEE is extremely privileged - not only can it interact directly with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 TrustZone kernel and access cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 hardware-secured TrustZone file-system (SFS), but it also has some direct form of access to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system's memory.

In this blog post we'll see how we can make use of this direct memory access in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Secure World" in order to hijack cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Linux Kernel running in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Normal World", without even requiring a kernel vulnerability.

Interacting with QSEE

 

As we've seen in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 previous blog post, when a user-space Android application would like to interact with a trustlet running in QSEE, it must do so by using a special Linux Kernel device, "qseecom". This device issues SMC calls which are handled by QSEOS, and are passed on to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 requested trustlet in order to be handled.

Each command issued to a trustlet has a pair of associated input and output buffers, which are usually used to convey all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 information to and from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Normal World" and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 trustlet.

However, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are some special use-cases in which a faster mode of communication is required  - for example, when decrypting (or encrypting) large DRM-protected media files, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 communication cost must be as small as possible in order to enable "smooth" playback.

Moreover, some devices include trustlets which are meant to assure cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 device's integrity (mostly in corporate settings).  For example, Samsung provides "TrustZone-based Integrity Measurement Architecture" (TIMA) - a framework used to assure device integrity. According to Samsung, TIMA performs (among ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r things) periodic measurements of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Normal World" kernel, and verifies that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y match cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 original factory kernel.

So... Trustlets need fast communication with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Normal World" and also need some ability to inspect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 system's memory - sounds dangerous! Let's take a closer look.

Sharing (Memory) is Caring

Continuing our research on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "widevine" trustlet, let's take a look at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 command used to DRM-encrypt a chunk of memory:

As we can see above, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 function receives two pointers denoting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "input" and "output" buffers, respectively. These can be any arbitrary buffers provided by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 user, so it stands to reason that some preparation would be needed in order to access cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m.  Indeed, we can see that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 preparation is done by calling "cacheflush_register", and, once cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 encryption process is done, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 buffers are released by calling "cacheflush_deregister".

Upon closer inspection, "cacheflush_register" and "cacheflush_deregister" are simple wrappers around a couple of QSEE syscalls (each):

cacheflush_register	cacheflush_deregister
qsee_register_shared_buffer	qsee_prepare_shared_buf_for_nosecure_read
qsee_prepare_shared_buf_for_secure_read	qsee_deregister_shared_buffer

So what do cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se syscalls do?

Looking at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 relevant handling code in QSEOS reveals that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se names are a little misleading - in fact, "qsee_prepare_shared_buf_for_secure_read" merely invalidates cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 given range in data cache (so that QSEE will observe cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 updated data), and similarly "qsee_prepare_shared_buf_for_nosecure_read" clears cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 given range from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data cache (so that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Normal World" will see cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 changes made by QSEE).

As for "qsee_register_shared_buffer" - this syscall is used to actually map cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 given ranges into QSEE. Let's see what it does:

After some sanity checks, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 function checks whecá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 given memory region is within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Secure World". If that's cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 case, it could be that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 trustlet is trying to attack cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 TrustZone kernel by mapping-in and modifying memory regions used by TZBSP or QSEOS. Since that would be extremely dangerous, only a select few (six) specific regions within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Secure World" can be mapped into QSEE. If cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 given address range is not within any of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se special "tagged" regions, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 operation is denied.

However - for any address in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Normal World", cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are no extra checks made! This means that QSEOS will happily allow us to use "qsee_register_shared_buffer" in order to map in any physical address in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Normal World".

...Are you pondering what I'm pondering?

Hijacking cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Linux Kernel

Since QSEE has read-write access to all of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Normal World"'s memory (all it needs to do is ask), we should cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365oretically be able to locate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 running Linux Kernel in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Normal World" directly in physical memory and inject code into it.

As a fun exercise, let's create a QSEE shellcode that doesn't require any kernel symbols - this way it can be used in any QSEE context in order to locate and hijack cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 running kernel.

Recall that after booting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 device, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 bootloader uses cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data specified in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Android boot image in order to extract cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Linux Kernel into a given physical address and execute it:

The physical load address of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Linux Kernel is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n available to any process via cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 world-readable file /proc/iomem:

However, simply knowing where cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel is loaded does not absolve us from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 need to find kernel symbols - cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re is a large amount of kernel images and an equally large amount of symbols per kernel. As such, we need some way to find cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 all of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's symbols dynamically using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 running kernel's memory. However, all is not lost - remember that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Linux Kernel keeps a list of all kernel symbols internally (!), and allows kernel modules to lookup cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se symbols using a special lookup function - "kallsyms_lookup_name". So how does this work?

As we've previously seen - cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 names in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's symbol table are compressed using a 256-entry huffman coding generated at build time. The huffman table is stored within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's image, alongside cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 descriptors for each symbol denoting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 indices in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 huffman table used to decompress it's name. And, of course, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 actual addresses for all of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 symbols are similarly stored in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's image.

In order to access all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 information in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 symbol table, we must first find it within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's image.

As luck would have it, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 first region of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 symbol table - cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "Symbol Address Table", always begins with two pointers to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's virtual load address (which can be easily calculated from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's physical load address since cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re's no KASLR). Moreover, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 symbol addresses in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 table are monotonically nondecreasing addresses within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's virtual address range - a fact which we can use to confirm our suspicion whenever we find two such consecutive pointers to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's virtual load address.

Symbol Address Table

Now that we can find cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 symbol table within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's image, all we need to do is implement cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 decompression scheme in order to be able to iterate over it and lookup any symbol. Great!


Using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 method above to find cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's symbol table, we can now locate and hijack any kernel function from QSEE. Following cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 tradition from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 previous kernel exploits, let's hijack an easily accessible function pointer from a very rarely-used network protocol - PPPOLAC.

The function pointers relating to this protocol are stored in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following kernel structure:

Overwriting cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "release" pointer in this structure would cause cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel to execute our crafted function pointer whenever a PPPOLAC socket is closed.

Putting it all togecá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r

Now that we have all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 pieces, all we need to do to gain code execution within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Linux Kernel is to:

• Achieve QSEE code execution
• Map-in all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's memory in QSEE using "qsee_register_shared_buffer"
• Find cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel's symbol table
• Lookup cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "pppolac_proto_ops" symbol in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 symbol table
• Overwrite any function pointer to our user-supplied function address 
• Flush cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 changes made in QSEE using "qsee_prepare_shared_buf_for_nosecure_read"
• Cause cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 kernel to call our user-supplied function by using a PPPOLAC socket

I've written some QSEE code which performs all of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se steps and exports an easy-to-use interface to allow kernel code execution, like so:

As always, you can find cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 full code here:

https://github.com/laginimaineb/WarOfTheWorlds

I should note that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 code currently only reads memory one DWORD at a time, making it quite slow. I didn't bocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r to speed it up, but any and all improvements are more than welcome (for example, reading large chunks of memory at a time would be much faster).

In cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next blog post, we'll continue our journey from zero-to-TrustZone, and attempt to gain code execution within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 TrustZone kernel.