Kernel Exploitation: অপারেটিং সিস্টেমের কার্নেল লেভেলে অনুপ্রবেশ করে পূর্ণ নিয়ন্ত্রণ নেওয়া!

আধুনিক অপারেটিং সিস্টেম দুটি প্রধান প্রিভিলেজ লেভেলে কাজ করে—User Mode (Ring 3) এবং Kernel Mode (Ring 0)। User Mode-এ চলা অ্যাপ্লিকেশনগুলো সীমিত অ্যাক্সেস পায় এবং সিস্টেম রিসোর্সের জন্য কার্নেলের কাছে System Call-এর মাধ্যমে অনুরোধ করে। কার্নেল সেই অনুরোধ যাচাই করে এবং অনুমোদিত হলে কাজ সম্পন্ন করে।

Linux কার্নেল একটি monolithic কাঠামো অনুসরণ করে, যেখানে file system, network stack, device driver—সবকিছু একই অ্যাড্রেস স্পেসে থাকে। এর সুবিধা পারফরম্যান্স, কিন্তু একটি ড্রাইভারে দুর্বলতা পুরো কার্নেলকে কম্প্রোমাইজ করতে পারে। Windows কার্নেল হাইব্রিড—কিছু সাবসিস্টেম ইউজার মোডে চলে, কিন্তু core এখনো monolithic।

প্রতিটি প্রসেসের নিজস্ব ভার্চুয়াল মেমোরি স্পেস থাকে, যেখানে user space এবং kernel space উভয় অংশই ম্যাপ করা থাকে—তবে kernel space-এ অ্যাক্সেস শুধু Ring 0-এ অনুমোদিত। 64-বিট Linux-এ kernel space সাধারণত উচ্চ ভার্চুয়াল অ্যাড্রেসে (0xffff800000000000+), 64-বিট Windows-এও অনুরূপ।

কার্নেলে যেসব দুর্বলতা পাওয়া যায় তা বেশিরভাগই User Mode-এ চেনা ক্লাসিক দুর্বলতার কার্নেল-সংস্করণ, তবে এক্সপ্লয়টেশন বিশেষভাবে চ্যালেঞ্জিং। Use-After-Free (UAF) সবচেয়ে সাধারণ—একটি অবজেক্ট মুছে ফেলার পরও এর পয়েন্টার ব্যবহৃত হলে আক্রমণকারী সেই মেমোরিতে নিয়ন্ত্রিত ডেটা স্থাপন করে কোড এক্সিকিউশন অর্জন করতে পারেন।

Out-of-Bounds Read/Write তথ্য ফাঁস এবং মেমোরি দূষণের কারণ হয়। Integer Overflow প্রায়ই Buffer Overflow-এ পরিণত হয় যখন আকার গণনা ভুল হয়। Type Confusion—যখন কার্নেল একটি অবজেক্টকে ভুল প্রকারের অবজেক্ট হিসেবে ব্যাখ্যা করে। Race Condition (TOCTOU) উন্নত আক্রমণের উৎস, বিশেষত multithreaded কার্নেল কোডে।

Logic Bug এবং Improper Validation-ও গুরুত্বপূর্ণ—অনেক CVE তৈরি হয় কেবল sanity check অনুপস্থিত থাকার কারণে। ioctl, syscall, এবং device driver interface সাধারণ আক্রমণ পৃষ্ঠ। ফাইল সিস্টেম, নেটওয়ার্ক প্রোটোকল ইমপ্লিমেন্টেশন, এবং গ্রাফিক্স ড্রাইভার প্রায়ই দুর্বলতার উৎস।

Linux কার্নেল এক্সপ্লয়টেশনে নির্দিষ্ট কৌশল রয়েছে। SLUB allocator হলো Linux-এর প্রধান kernel heap manager, এবং এটির গঠন বোঝা এক্সপ্লয়টেশনের জন্য অপরিহার্য। বিভিন্ন slab cache (kmalloc-32, kmalloc-64, ইত্যাদি) আকার অনুযায়ী object বরাদ্দ করে।

ক্লাসিক টেকনিক "Heap Spraying" দিয়ে নির্দিষ্ট slab cache ভরা হয়—আক্রমণকারী একটি নিয়ন্ত্রিত আকারের কার্নেল অবজেক্ট (যেমন msgmsg, sk_buff) বহুবার বরাদ্দ করে কার্নেল heap predictable করেন। তারপর একটি UAF বা OOB-এর মাধ্যমে নিয়ন্ত্রিত অবজেক্ট মুক্ত করে সেখানে নতুন অবজেক্ট রাখা হয়।

"modprobe_path" আক্রমণ একটি প্রিয় কৌশল—যদি আক্রমণকারী arbitrary kernel memory write পান, তারা /proc/sys/kernel/modprobe path-কে নিজের স্ক্রিপ্ট-এ পয়েন্ট করিয়ে যেকোনো অননুমোদিত ফাইলের execution ট্রিগার করতে পারেন (যা root হিসেবে চলে)। অন্য কৌশল—core_pattern manipulation, কার্নেল credential structure (cred) সরাসরি ওভাররাইট করে UID 0 করে দেওয়া।

পরিচিত Linux কার্নেল এক্সপ্লয়ট—Dirty COW (CVE-2016-5195), Dirty Pipe (CVE-2022-0847), netfilter UAF (CVE-2022-25636), nf_tables (একাধিক CVE), io_uring বাগ। প্রতিটি বছরে কয়েক ডজন কার্নেল CVE প্রকাশিত হয়, এবং Project Zero, Google Security Research এবং পৃথক গবেষকরা নিয়মিত নতুন দুর্বলতা আবিষ্কার করছেন।

Windows কার্নেল এক্সপ্লয়টেশন তার নিজস্ব জটিলতা বহন করে। Windows-এ pool allocator (ExAllocatePool) heap পরিচালনা করে, এবং বিভিন্ন pool type (NonPagedPool, PagedPool) এবং tag রয়েছে। আধুনিক Windows-এ Pool Hardening যুক্ত হয়েছে—Pool Header Cookie, segregated pool ইত্যাদি।

Windows-এ kernel object structure যেমন EPROCESS, ETHREAD, _TOKEN আক্রমণের মূল লক্ষ্য। Token Stealing একটি ক্লাসিক টেকনিক—আক্রমণকারী System process-এর Token EPROCESS কাঠামো থেকে কপি করে নিজের process-এ পেস্ট করেন, ফলে তারা NT AUTHORITY\SYSTEM হয়ে যান।

Windows-এর সাধারণ আক্রমণ পৃষ্ঠ—graphics subsystem (win32k.sys), driver interface (IOCTL), Common Log File System (CLFS.sys), AFD.sys (Ancillary Function Driver)। সাম্প্রতিক উল্লেখযোগ্য Windows কার্নেল CVE—CLFS-এ একাধিক (CVE-2022-24521, 2023-23376, ইত্যাদি), AFD.sys-এ (CVE-2023-21768), এবং win32k-তে নিয়মিত আবিষ্কার।

আধুনিক কার্নেলে অসংখ্য সুরক্ষা স্তর রয়েছে যা এক্সপ্লয়টেশন কঠিন করে। KASLR (Kernel Address Space Layout Randomization) প্রতি বুটে কার্নেল ও মডিউল অ্যাড্রেস র‍্যান্ডমাইজ করে। ফলে আক্রমণকারীকে প্রথমে info leak খুঁজতে হয়।

SMEP (Supervisor Mode Execution Prevention) কার্নেল মোডে user space কোড execute হওয়া আটকায়। SMAP (Supervisor Mode Access Prevention) কার্নেল কোড দ্বারা user space ডেটা সরাসরি অ্যাক্সেস বন্ধ করে। KPTI (Kernel Page Table Isolation) Meltdown-এর প্রতিক্রিয়ায় এসেছে।

Linux-এ অতিরিক্ত প্রতিরক্ষা—CFI (Control Flow Integrity), CONFIG_HARDENED_USERCOPY, CONFIG_STATIC_USERMODEHELPER, KASAN (debug)। Windows-এ Control Flow Guard (CFG), Hypervisor-Protected Code Integrity (HVCI), Virtualization-Based Security (VBS), Kernel Patch Protection (PatchGuard)।

Intel CET (Control-flow Enforcement Technology) hardware-level protection প্রদান করে—Shadow Stack এবং Indirect Branch Tracking। ARM-এ PAC (Pointer Authentication) এবং BTI (Branch Target Identification)। প্রতিটি নতুন hardware generation নতুন সুরক্ষা ফিচার নিয়ে আসছে।

প্রতিরক্ষা স্তর শক্তিশালী হলেও, প্রতিটির বাইপাস কৌশল গবেষকরা আবিষ্কার করছেন। KASLR বাইপাসের জন্য info leak primitive প্রয়োজন—একটি কার্নেল pointer ফাঁস করতে পারলে অ্যাড্রেস স্পেস হিসাব করা যায়। sysfs entry, debug interface, side-channel attack (Spectre/Meltdown variants) এর উৎস।

SMEP/SMAP বাইপাসে ret2usr বাদ দিয়ে kernel-only gadget ব্যবহার করতে হয়। এর জন্য ROP/JOP চেইন কার্নেলেই নির্মাণ করা হয়। কখনো কখনো একটি data-only attack যথেষ্ট—কোড execute না করেই কার্নেল ডেটা manipulate করে privilege escalation।

KPTI বাইপাসে hardware-level side channel ব্যবহৃত হয়। CFI/CFG বাইপাসে valid call target-এর তালিকায় কোনো useful function খুঁজে বের করা হয়। প্রতিটি বাইপাস কৌশল গবেষণা পেপার এবং DEF CON, Black Hat, OffensiveCon-এর মতো সম্মেলনে নিয়মিত প্রকাশিত হয়।

কার্নেল এক্সপ্লয়ট ডেভেলপমেন্ট জটিল ও সময়সাপেক্ষ। সাধারণ সেটআপে QEMU/KVM-এ একটি ভার্চুয়াল মেশিনে দুর্বল কার্নেল চালানো হয়, GDB এর সঙ্গে remote debugging সংযুক্ত। Linux-এ kernel debug symbols, .config ফাইল এবং vmlinux প্রয়োজন।

Windows-এ WinDbg + VM (Hyper-V বা VMware), kd debugger ব্যবহৃত হয়। Symbol path microsoft symbol server-এ সেট করতে হয়। কখনো কখনো hardware debugging-এর জন্য USB 3.0 cable বা serial debug প্রয়োজন।

জনপ্রিয় চ্যালেঞ্জ পরিবেশ—pwn.college, kernel CTF (Google), HackTheBox Pro Labs, OffSec-এর OSEE। বইয়ের মধ্যে "A Guide to Kernel Exploitation" এবং সাম্প্রতিক ব্লগ পোস্ট, conference talk একটি নির্ভরযোগ্য রিসোর্স।

Kernel Exploitation গবেষণা একটি সংবেদনশীল ক্ষেত্র। আবিষ্কৃত দুর্বলতা প্রকাশের জন্য Responsible Disclosure অনুসরণ করা অপরিহার্য। Linux কার্নেল [email protected] এবং linux-distros মেইলিং লিস্ট-এর মাধ্যমে রিপোর্ট গ্রহণ করে। Microsoft MSRC বা Bug Bounty প্রোগ্রাম, Apple-এর Apple Security Bounty—সবগুলোতে কার্নেল দুর্বলতার জন্য উচ্চ পুরস্কার রয়েছে।

Project Zero-এর "90-day disclosure deadline" নীতি একটি ডি-ফ্যাক্টো স্ট্যান্ডার্ড হয়ে উঠেছে। গবেষকদের উচিত শিল্পের নিয়ম মেনে চলা এবং নিজের কাজ যাতে প্রকৃত ব্যবহারকারীদের ক্ষতি না করে তা নিশ্চিত করা।

System Administrator এবং Security Engineer-এর জন্য kernel-level হুমকি মোকাবেলায় কয়েকটি গুরুত্বপূর্ণ অনুশীলন রয়েছে। প্রথমত, নিয়মিত patch management—কার্নেল CVE প্রকাশের পর দ্রুত আপডেট প্রয়োগ। Linux-এ Live Patching (kpatch, kgraft) ডাউনটাইম ছাড়া প্যাচ প্রয়োগ করতে দেয়।

দ্বিতীয়, hardening কনফিগারেশন—Linux-এ kernel parameter (kptr_restrict, dmesg_restrict, perf_event_paranoid), grsecurity/PaX (যদিও বাণিজ্যিক), AppArmor/SELinux MAC প্রয়োগ। তৃতীয়, Windows-এ HVCI, Secure Boot, Credential Guard, এবং Defender Application Guard সক্রিয় করা।

চতুর্থ, EDR সলিউশন যা kernel behavior anomaly সনাক্ত করতে পারে—অস্বাভাবিক IOCTL pattern, kernel callback রেজিস্ট্রেশন, driver loading। পঞ্চম, principle of least privilege—কম privilege আক্রমণ পৃষ্ঠকে সংকুচিত করে। ষষ্ঠ, attack surface reduction—অপ্রয়োজনীয় kernel module ও driver সরিয়ে দিন।

সপ্তম, kernel auditing—Linux audit subsystem এবং Windows ETW kernel events লগ করে SIEM-এ পাঠান। অষ্টম, threat intelligence—নতুন কার্নেল CVE এবং exploit kit সম্পর্কে আপডেট থাকা।