PS5内核漏洞3.xx / 4.xx 下载v1.03

PS5内核漏洞（PS5 Kernel Exploit）是一款面向PS5主机玩家的系统级工具，主要针对3.xx与4.xx固件版本，利用IPv6协议栈中的内核漏洞实现越狱操作。该工具由Cryptogenic开发，为后续运行Homebrew程序、备份游戏、修改系统文件等折腾玩法提供了基础入口。对于喜欢探索主机潜能的玩家而言，这款工具是折腾路上的关键一步，操作门槛相对较低，配合网页引导即可完成触发。

PS5内核漏洞点评

- 支持3.xx与4.xx固件，覆盖早期版本主机。

- 基于IPv6内核漏洞，稳定性相对较好。

- 开源免费，持续更新，玩家可自行编译。

- 配合引导页使用，触发简单，适合新手入门。

- 为后续Homebrew与备份工具铺路，可玩性高。

PS5内核漏洞怎么用 使用教程

This repo contains an experimental WebKit ROP implementation of a PS5 kernel exploit based on TheFlow's IPV6 Use-After-Free (UAF), which was reported on HackerOne. The exploit strategy is for the most part based on TheFlow's BSD/PS4 PoC with some changes to accommodate the annoying PS5 memory layout (for more see Research Notes section). It establishes an arbitrary read / (semi-arbitrary) write primitive. This exploit and its capabilities have a lot of limitations, and as such, it's mostly intended for developers to play with to reverse engineer some parts of the system.
本仓库包含一个基于 WebKit ROP 的 PS5 内核漏洞利用实验性实现，该漏洞利用基于 TheFlow 的 IPv6 释放后使用 (UAF) 机制 ，该机制已在 HackerOne 上报道 。该漏洞利用策略主要基于 TheFlow 的 BSD/PS4 PoC，并进行了一些修改以适应 PS5 特殊的内存布局（更多信息请参见 “研究笔记 ”部分）。它建立了一个任意读取/（半任意）写入的原语。该漏洞利用及其功能存在诸多限制，因此主要供开发者用于逆向工程系统部分代码。

With latest stability improvements, reliability is at about 80%. This document will contain research info about the PS5, and this exploit will undergo continued development and improvements as time goes on.
经过最新的稳定性改进，可靠性约为 80%。本文档将包含有关 PS5 的研究信息，并且随着时间的推移，此漏洞利用程序将持续进行开发和改进。

Those interested in contributing to PS5 research/dev can join a discord I have setup here.
对参与 PS5 研究/开发感兴趣的人可以加入我在这里创建的 Discord 服务器。

Exploit should now support the following firmwares:
该漏洞利用程序现在应该支持以下固件：

• 3.00
• 3.10
• 3.20
• 3.21
• 4.00
• 4.02
• 4.03
• 4.50
• 4.51

• Obtains arbitrary read/write and can run a basic RPC server for reads/writes (or a dump server for large reads) (must edit your own address/port into the exploit file on lines 673-677)
  获取任意读/写权限，并可运行基本的 RPC 服务器进行读/写操作（或运行转储服务器进行大容量读取）（必须在漏洞利用文件的第 673-677 行编辑您自己的地址/端口）。
• Enables debug settings menu (note: you will have to fully exit settings and go back in to see it).
  启用调试设置菜单（注意：您需要完全退出设置并重新进入才能看到它）。
• Gets root privileges 获取 root 权限

• This exploit achieves read/write, but not code execution. This is because we cannot currently dump kernel code for gadgets, as kernel .text pages are marked as eXecute Only Memory (XOM). Attempting to read kernel .text pointers will panic!
  此漏洞利用程序可以实现读写操作， 但无法执行代码 。这是因为我们目前无法转储 gadget 的内核代码，因为内核的 .text 页被标记为仅执行内存 (XOM)。尝试读取内核 .text 指针会导致 panic！
• As per the above + the hypervisor (HV) enforcing kernel write protection, this exploit also cannot install any patches or hooks into kernel space, which means no homebrew-related code for the time being.
  根据上述情况以及虚拟机管理程序 (HV) 强制执行内核写保护，此漏洞也无法在内核空间中安装任何补丁或钩子 ，这意味着目前无法安装与自制软件相关的代码。
• Clang-based fine-grained Control Flow Integrity (CFI) is present and enforced.
  存在并强制执行基于 Clang 的细粒度控制流完整性 (CFI)。
• Supervisor Mode Access Prevention/Execution (SMAP/SMEP) cannot be disabled, due to the HV.
  由于高压 (HV)，无法禁用主管模式访问预防/执行 (SMAP/SMEP)。
• The write primitive is somewhat constrained, as bytes 0x10-0x14 must be zero (or a valid network interface).
  写入原语受到一定限制，因为字节 0x10-0x14 必须为零（或有效的网络接口）。
  • Though due to newer work using pipes, full arbitrary read/write is now possible
    虽然由于采用了管道技术，现在可以实现完全任意的读/写操作。

1. Configure fakedns via dns.conf to point manuals.playstation.net to your PCs IP address
   通过 dns.conf 配置 fakedns，将 manuals.playstation.net 指向您电脑的 IP 地址。
2. Run fake dns: python fakedns.py -c dns.conf
   运行伪造的 DNS： python fakedns.py -c dns.conf
3. Run HTTPS server: python host.py
   运行 HTTPS 服务器： python host.py
4. Go into PS5 advanced network settings and set primary DNS to your PCs IP address and leave secondary at 0.0.0.0
   进入 PS5 高级网络设置，将主 DNS 服务器设置为您电脑的 IP 地址，并将辅助 DNS 服务器保留为 0.0.0.0
   1. Sometimes the manual still won't load and a restart is needed, unsure why it's really weird
      有时候手册还是加载不出来，需要重启电脑，不知道为什么，真是奇怪。
5. Go to user manual in settings and accept untrusted certificate prompt, run
   转到设置中的用户手册，接受不受信任证书提示，然后运行
6. Optional: Run rpc/dump server scripts (note: address/port must be substituted in binary form into exploit.js).
   可选：运行 rpc/dump 服务器脚本（注意：地址/端口必须以二进制形式替换到 exploit.js 中）。

• Fix-up sockets to exit browser cleanly (top prio)
  修复套接字以正常退出浏览器（首要任务）
• Write some data patches (second prio)
  编写一些数据补丁（次要事项）
  • Enable debug settings 启用调试设置
  • Patch creds for uid0 为 uid0 修补凭据
  • Jailbreak w/ cr_prison overwrite
    使用 cr_prison 覆盖进行越狱
• Improve UAF reliability 提高 UAF 的可靠性
• Improve victim socket reliability (third prio)
  提高受害者套接字可靠性（第三优先级）
• Use a better / more consistent leak target than kqueue (no longer necessary)
  使用比 kqueue 更好/更一致的泄漏目标 （不再需要）
• Make ELF loader support relocations
  使 ELF 装载机支持搬迁
  • Add support for more relocations and possibly full dynamic linkage?
    增加对更多迁移的支持，并可能实现完全动态联动？

To use the ELF loader, run the exploit until completion. Upon completion it'll run a server on port :9020. Connect and send your ELF to the PS5 over that port and it'll run it. Assuming the ELF doesn't crash the browser, it can continue to run ELFs forever.
要使用 ELF 加载器，请运行漏洞利用程序直至完成。完成后，它会在 :9020 端口上运行一个服务器。连接该服务器并通过该端口向 PS5 发送您的 ELF 文件，它就会运行该文件。假设 ELF 文件不会导致浏览器崩溃，它可以无限循环运行 ELF 文件。

This exploit works in 5 stages, and for the most part follows the same exploit strategy as theflow's poc.
该漏洞利用分为 5 个阶段，并且在很大程度上遵循与 theflow 的 poc 相同的漏洞利用策略。

1. Trigger the initial UAF on ip6_pktopts and get two sockets to point to the same pktopts / overlap (master socket <-> overlap spray socket)
   在 ip6_pktopts 上触发初始 UAF，并使两个套接字指向同一个 pktopts / 重叠（主套接字 <-> 重叠喷射套接字）
2. Free the pktopts on the master socket and fake it with an ip6_rthdr spray containing a tagged tclass overlap.
   释放主套接字上的 pktopts ，并使用包含标记 tclass 重叠的 ip6_rthdr spray 来伪造它。
3. Infoleak step. Use pktopts/rthdr overlap to leak a kqueue from the 0x200 slab and pktopts from the 0x100 slab.
   信息泄露步骤。利用 pktopts / rthdr 重叠从 0x200 slab 泄露 kqueue，并从 0x100 slab pktopts 。
4. Arbitrary read/write step. Fake pktopts again and find the overlap socket to use IPV6_RTHDR as a read/write primitive.
   任意读/写步骤。再次伪造 pktopts 并找到重叠套接字，以便使用 IPV6_RTHDR 作为读/写原语。
5. Cleanup + patch step. Increase refcount on corrupted sockets for successful browser exit + patch data to enable debug menu and patch ucreds for uid0.
   清理 + 修补步骤。增加损坏套接字的引用计数，以便浏览器成功退出；修补数据以启用调试菜单；修补 uid0 的 ucreds。
6. Run ELF loader server that will accept and load/run ELFs. Currently WIP, does not support relocations at the moment.
   运行 ELF 加载服务器，该服务器能够接收并加载/运行 ELF 文件。目前仍在开发中，暂不支持文件重定位。

Stability for this exploit is at about 30% 80-90%, and has two potential points of failure. In order of observed descending liklihood:
该漏洞利用的稳定性约为 30% 成功率在 80% 到 90% 之间，并且有两个潜在的故障点。按观察到的可能性从高到低排序：

1. Stage 1 fails to reclaim the UAF, causing immediate crash or latent corruption that causes crash.
   第一阶段无法回收 UAF，导致立即崩溃或潜在损坏导致崩溃。
2. Stage 4 fails to find a victim socket
   第 4 阶段未能找到受害者套接字

• It appears based on various testing and dumping with the read primitive, that the PS5 has reverted back to 0x1000 page size compared to the PS4's 0x4000.
  根据对读取原语的各种测试和转储，PS5 的页面大小似乎已经恢复到 0x1000，而 PS4 的页面大小为 0x4000。

  • After further research, the page size is indeed still 0x4000, however due to some insane allocator changes, different slabs can be allocated in the same virtual page.
    经过进一步研究，页面大小确实仍然是 0x4000，但是由于一些疯狂的分配器更改，可以在同一个虚拟页面中分配不同的 slab。

• It also seems on PS5 that adjacent pages rarely belong to the same slab, as you'll get vastly different data in adjacent pages. Memory layout seems more scattered.
  PS5 上似乎相邻的内存页很少属于同一个内存块，因为相邻的内存页中会存储截然不同的数据。内存布局看起来更加分散。

• Often when the PS5 panics (at least in webkit context), there will be awful audio output as the audio buffer gets corrupted in some way.
  通常情况下，当 PS5 出现故障时（至少在 webkit 环境下），由于音频缓冲区以某种方式损坏，会出现糟糕的音频输出。

• Sometimes this audio corruption persists to the next boot, unsure why.
  有时这种音频损坏现象会持续到下次启动，原因不明。

• Similar to PS4, the PS5 will require the power button to be manually pressed on the console twice to restart after a panic.
  与 PS4 类似，PS5 在发生故障后需要手动按两次主机上的电源按钮才能重新启动。

• It is normal for the PS5 to take an absurd amount of time to reboot from a panic if it's isolated from the internet (unfortunately). Expect boot to take 3-4 minutes.
  如果 PS5 在断网状态下（很遗憾）重启后出现系统崩溃，那么重启时间通常会非常长，这是正常现象。预计启动时间需要 3-4 分钟。

热门同类软件推荐

更新日志

v1.03
增加了对相对位置迁移的支持。
修复了各种小错误/拼写错误（感谢 John Tornblom）。

v1.02
增加了对固件 3.00、3.20、3.21、4.02 和 4.51 的支持（3.10 和 4.00 部分支持）（感谢 ChendoChap）。
现在会在漏洞利用后清理文件描述符，这样子进程就不会不必要地继承大量资源。
修复了 ELF 加载器中可能导致读取不完整的各种错误。
为 ELF 加载器添加了一些用于内核读/写操作的入口点参数。