CVE-2012-4220 原理分析中简单的描述了一下libdiagexploit存在的问题，经过实际的测试，android-rooting-tools使用libdiagexploit是没法将值修改正确的。下面给出一种修正的方案，经过测试可以在ZTE N798 (CT_CN_N798+V1.0.0B09)上获取到了Root权限。
利用之前需要清楚这个漏洞的功能和限制。
1. 使用该漏洞可以向任意地址写入一个16位的值，范围是2~0xFFFF。
2. 修改为特定值需要循环调用该漏洞直到delayed_rsp_id的值是目标值。
该漏洞的一些相关连接：
– CodeAurora
– NVD
上述连接中对该漏洞的描述：
|
1 |
diagchar_core.c in the Qualcomm Innovation Center (QuIC) Diagnostics (aka DIAG) kernel-mode driver for Android 2.3 through 4.2 allows attackers to execute arbitrary code or cause a denial of service (incorrect pointer dereference) via an application that uses crafted arguments in a local diagchar_ioctl call. |
造成该漏洞的主要代码如下：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 |
// file: drivers/char/diag/diagchar_core.c // function: diagchar_ioctl } else if (iocmd == DIAG_IOCTL_GET_DELAYED_RSP_ID) { struct diagpkt_delay_params *delay_params = (struct diagpkt_delay_params *) ioarg; if ((delay_params->rsp_ptr) && (delay_params->size == sizeof(delayed_rsp_id)) && (delay_params->num_bytes_ptr)) { *((uint16_t *)delay_params->rsp_ptr) = DIAGPKT_NEXT_DELAYED_RSP_ID(delayed_rsp_id); *(delay_params->num_bytes_ptr) = sizeof(delayed_rsp_id); success = 0; } |
这代码两个问题：
1. 对于用户态传递的参数ioarg没有检验直接使用。传递一个无效指针即可造成拒绝服务。
2. 对delay_params中的rsp_ptr以及num_bytes_ptr两个用户态的指针仅做了非空判断就直接使用。传递无效指针可造成拒绝服务，传递其他地址可以造成任意地址写入攻击。