Syzkaller实验报告（Crash Demo）

实验配置

测试工具：Syzkaller

测试对象：linux6.7.0-rc4,编译进一个有堆溢出漏洞的驱动程序。

测试环境：

虚拟机：Kali 6.5.0

gcc 7.4.0

g++ 7.4.0

（注：gcc版本不要太高，当我使用gcc11的时候，编译时直接就检测出了堆溢出的问题。）

测试过程：

参考Syzkaller Crash Demo，复现了这个Demo 。

Debian-GNU-Linux-Profiles/docs/harbian_qa/fuzz_testing/syzkaller_crash_demo.md at master · hardenedlinux/Debian-GNU-Linux-Profiles (github.com)

实验环境搭建过程在我的另一篇博客中：Set up Syzkaller (记录安装过程) | Xjelly‘s Blog

一、关键步骤：

1.添加导致堆溢出的规则到syzkaller并重新构建

1.Syzkaller语法

syzkaller自己定义了一套描述系统调用模版的声明式语言（syzlang），称之为描述文件/声明文件。为了提高fuzz效率，我们必须为目标系统量身定制这种声明文件。通常一个设备节点对应一个声明文件。所谓的声明文件就是一个txt，根据syzkaller定义的语法，在这个txt文档中描述设备节点的接口信息以及参数格式。

The grammar of *.txt
1
2
3
4
open$proc(file ptr[in, string["/proc/test"]], flags flags[proc_open_flags], mode flags[proc_open_mode]) fd
...
proc_open_flags = O_RDONLY, O_WRONLY, O_RDWR, O_APPEND, FASYNC, O_CLOEXEC, O_CREAT, O_DIRECT, O_DIRECTORY, O_EXCL, O_LARGEFILE, O_NOATIME, O_NOCTTY, O_NOFOLLOW, O_NONBLOCK, O_PATH, O_SYNC, O_TRUNC, \__O_TMPFILE
proc_open_mode = S_IRUSR, S_IWUSR, S_IXUSR, S_IRGRP, S_IWGRP, S_IXGRP, S_IROTH, S_IWOTH, S_IXOTH
系统调用的声明由系统调用名称、参数和返回值组成，系统调用名称的格式如下所示：
1
SyscallName$Type
$前面的"Syscallname"是系统调用的名称，由内核提供的接口，$ 后面的"Type"是系统调用的具体类型。在我的例子中：
1
open$proc
表示具有限定类型"proc"的系统调用"open()"，名称由编写者确定，限制由后续参数确定，参数的格式如下：
1
ArgumentName ArgumentType[Limit]
ArgumentName是参数的名称，ArgumentType是参数的类型。在我的例子中，有几种参数类型，比如string、flags等。"[Limit]"将限制参数的值，如果没有指定，syzkaller将生成一个随机值。
1
2
mode flags[proc_open_mode]
proc_open_mode = ...
在我们的例子中，参数"mode"的类型是"flags"，它将从“proc_open_mode = …”中选择一些值。
声明的最后是返回值。在我的例子中，"fd"是文件描述符。
一些常见的系统调用声明写在源代码树$(SYZKALLER_SOURCE)/sys/sys.txt中。

More infomation about programmer can be found on this

在我的例子中，堆溢出可以通过写入/proc/test来触发。因此，我们应该将"open"的参数"file"限制为"/proc/test"，其他可以参考sys.txt文件。

2.添加堆溢出规则

syzkaller源码中，找到sys/linux/目录，新建一个文件，命名为proc_operation.txt，内容如下：

include <linux/fs.h>

open$proc(file ptr[in, string["/proc/test"]], flags flags[proc_open_flags], mode flags[proc_open_mode]) fd
read$proc(fd fd, buf buffer[out], count len[buf])
write$proc(fd fd, buf buffer[in], count len[buf])
close$proc(fd fd)

proc_open_flags = O_RDONLY, O_WRONLY, O_RDWR, O_APPEND, FASYNC, O_CLOEXEC, O_CREAT, O_DIRECT, O_DIRECTORY, O_EXCL, O_LARGEFILE, O_NOATIME, O_NOCTTY, O_NOFOLLOW, O_NONBLOCK, O_PATH, O_SYNC, O_TRUNC, __O_TMPFILE
proc_open_mode = S_IRUSR, S_IWUSR, S_IXUSR, S_IRGRP, S_IWGRP, S_IXGRP, S_IROTH, S_IWOTH, S_IXOTH

3.在syzkaller目录下编译 syz-extract 和 syz-sysgen

如果syzkaller/bin目录下，没有syz-extract和syz-sysgen这两个文件的话，需要执行如下命令编译：

1 2	make bin/syz-extract make bin/syz-sysgen

接下来我们使用 syz-extract 生成 .const 文件：指定txt文件名，可单独生成该文件对应的const文件。（注意自行更改源码的路径。）

1	bin/syz-extract -os linux -sourcedir "root/source/linux" -arch amd64 proc_operation.txt

运行syz-sysgen

1	bin/syz-sysgen

重新编译syzkaller

1 2	make clean make all

修改配置文件：

启动syzkaller的配置文件如下。为了更快看到crash结果，增加了“enable_syscalls”项，只允许某些系统调用，能更快地触发漏洞。

增加：

"enable_syscalls": [
       "open$proc",
       "read$proc",
       "write$proc",
       "close$proc"
],

完整的配置文件如下：（注意自行修改文件路径。）

{
 "target": "linux/amd64",
 "http": "127.0.0.1:56741",
 "workdir": "/root/syzkaller/workdir",
 "kernel_obj": "/root/linux",
 "image": "/root/linux/IMAGE/bullseye.img",
 "sshkey": "/root/linux/IMAGE/bullseye.id_rsa",
 "syzkaller": "/root/syzkaller",
 "procs": 8,
 "type": "qemu",
 "enable_syscalls": [
        "open$proc",
        "read$proc",
        "write$proc",
        "close$proc"
 ],
 "vm": {
  "count": 4,
  "kernel": "/root/linux/arch/x86/boot/bzImage",
  "cpu": 2,
  "mem": 2048
 }

}

2.将堆溢出代码编译到内核

使用demo中的test.c

在kernel_src/drivers/char目录下，新建一个test.c。这是一个有漏洞的内核模块，漏洞代码片段如下：

static ssize_t proc_write (struct file *proc_file, const char __user *proc_user, size_t n, loff_t *loff)
{
    char *c = kmalloc(512, GFP_KERNEL);
    copy_from_user(c, proc_user, 4096);
    printk(":into write!\n");
    return 0;
}

打开char/目录下的Kconfig文件，添加：

config PROC_OP
	bool "/proc/test virtual device support"
	default y
	help
	  This is a Syzkaller test case device driver.

打开char/目录下的Makefile文件，添加：

1	obj-$(CONFIG_PROC_OP) += test.o

若/linux/drivers/char/是新目录，还需修改/linux/drivers/Kconfig（加上source “drivers/char/Kconfig”）；修改/linux/drivers/Makefile（加上obj-$(CONFIG_PROC_OP) += char/）。

回到linux目录，修改.config,增加：CONFIG_PROC_OP=y

重新编译内核：

1 2	make clean make -j8

用新的内核启动虚拟机，查看模块是否加载成功

# 查看模块对应设备节点是否存在
ls /proc/test1
# 查看模块加载时的log信息
dmesg | grep "proc init"

3.运行syzkaller来寻找该漏洞

1	./bin/syz-manager -config=my.cfg

二、测试情况

1.整体情况

2.漏洞种类及其数量

Bad rss-rounter state:7

NULL pointer:80

generaral protection fault：18

waring：若干

3.漏洞种类及其成因

Bad rss-router state

属于网络漏洞的一种。它是由于操作系统或网络设备中的错误实现导致的。

RSS（Receive Side Scaling）是一种网络流量分发技术，可以将传入的网络流量分散到多个CPU核心来进行处理，提高网络性能。而Bad rss-router state漏洞是指在实现RSS的过程中，出现了错误的路由状态。这可能会导致网络流量被错误地分发到不正确的CPU核心，造成网络性能下降、数据包丢失或网络拥塞等问题。

这种漏洞的成因可能包括操作系统或网络设备中的软件错误、缓冲区溢出、内存错误或配置错误等。在本次测试中，极有可能是因为堆溢出而引发的。

NULL pointer deference

内核代码中出现了对空指针的解引用操作，导致系统无法正确处理而引发的错误。

在计算机编程中，空指针是指没有指向有效内存地址的指针。当内核代码中的某个地方尝试解引用空指针时，就会触发"unable to handle kernel NULL pointer dereference"错误。

general protection fault

一般保护错误时，表示内核尝试访问未分配给它的内存区域，或者访问了无效的内存地址。

以上三种错误都很有可能是堆溢出引发的。