kernel pwn绕过auditd审计系统
💡
原文中文，约8300字，阅读约需20分钟。
📝
内容提要
作者尝试复现CVE-2017-11176漏洞时遇到了centos 7.4上的问题，关闭auditd后成功复现漏洞。在ubuntu和debian系统中提权较容易，而在centos中较困难。作者分享了一些ROP链条，但由于开启了smap和kaslr无法在实际环境中利用。
🎯
关键要点
- 作者尝试复现CVE-2017-11176漏洞，遇到centos 7.4上的问题。
- 关闭auditd后成功复现漏洞，在ubuntu和debian系统中提权较容易。
- 在centos中提权较困难，主要是由于smap和kaslr的保护。
- 作者分享了一些ROP链条，但在实际环境中无法利用。
- 通过分析系统调用，发现auditd模块导致提权失败。
- 关闭审计系统后，成功复现漏洞，提出了绕过auditd的方法。
- 总结认为centos的安全性较高，企业应用优先选择centos。
❓
延伸问答
CVE-2017-11176漏洞是什么？
CVE-2017-11176是一个Linux内核中的漏洞，可能导致提权问题。
在CentOS 7.4上复现CVE-2017-11176时遇到了什么问题？
在CentOS 7.4上复现时，开启auditd会导致提权失败。
为什么在CentOS中提权较困难？
因为CentOS开启了smap和kaslr保护，这增加了提权的难度。
如何绕过auditd审计系统？
可以通过关闭auditd或在ROP链中增加特定返回地址来绕过auditd。
在Ubuntu和Debian系统中提权是否容易？
在Ubuntu和Debian系统中，提权相对容易，成功率较高。
CentOS的安全性如何？
CentOS的安全性较高，因此企业应用优先选择CentOS。
➡️
