搜索

[6258] 2019-11-03_LinuxSudo漏洞（CVE-2019-14287）分析

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-17
2019-11-03_LinuxSudo漏洞（CVE-2019-14287）分析 L i n u x   S u d o   漏 洞 （ C V E - 2 0 1 9 - 1 4 2 8 7 ） 分 析 E 安 全   2 0 1 9 - 1 1 - 0 3 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 y u h a o N o . 1 N o . 1 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍 漏 洞 介 绍         最 近 的 国 外 的 团 队 跟 踪 并 披 露 了 该 漏 洞 ， 报 告 中 发 现 ， 在 所 有 s u d o 版 本 低 于 1 . 8 . 2 9   的 L i n u x 机 器 ， 均 受 到 该 漏 洞 的 影 响 。         此 漏 洞 可 以 使 用 户 拥 有 权 限 运 行 其 他 用 户 命 令 。 N o . 2 N o . 2 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节 漏 洞 细 节         s u d o 允 许 非 特 权 用 户 以 r o o t 用 户 身 份 执 行 命 令 ， 问 题 在 于 在 s u d o   i d   在 1 . 8 . 2 8 之 前 的 版 本 中 以 任 意 用 户 实 现 了 运 行 命 令 的 方 式 ， 虽 然 攻 击 的 利 用 方 式 ， 需 要 对 本 地 配 置 进 行 修 改 ， 利 用 此 漏 洞 需 要 恶 意 用 户 具 有 以 任 何 用 户 （ r o o t 用 户 除 外 ） 身 份 运 行 命 令 的 特 权 ， 如 果 s u d o e r s 文 件 A L L 中 R u n a s 参 数 带 有 特 殊 值 ， 则 可 以 利 用 成 功 。         在 你 的 L i n u x 机 器 上 运 行 一 下 命 令 。 s u d o   - V   |   g r e p   ' S u d o   v e r s i o n ' 即 可 查 看 是 否 受 到 该 版 本 （ 低 于 1 . 8 . 2 9 ） 的 影 响 。 N o . 3 N o . 3 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 漏 洞 分 析 s u d o 程 序 本 身 是 一 个 设 置 的 S U I D 位 的 二 进 制 文 件 。 我 们 可 以 检 查 一 下 他 的 权 限 ： l s   - l   / u s r / b i n / s u d o         它 的 所 有 者 是 r o o t , 所 以 每 个 用 户 都 已 像 r o o t 那 样 执 行 该 程 序 。 设 置 了 S U I D 的 程 序 在 运 行 时 可 以 给 使 用 者 以 所 有 者 的 E U I D         s u d o 的 配 置 都 记 录 在 / e t c / s u d o e r s 文 件 中 ， 配 置 文 件 知 名 哪 些 用 户 可 以 执 行 哪 些 命 令 。 要 使 用 s u d o ， 用 户 只 须 提 供 s u d o 用 户 的 密 码 。 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
        那 么 本 次 漏 洞 的 命 令 就 是 s u d o   - u u s e r n a m e # u i d U S e r         因 为 需 要 用 户 执 行 此 命 令 ， 那 么 需 要 用 户 的 s u d o e r s 中 的 r u n a s 说 明 具 有 特 殊 值 A L L         查 看 一 下 / e t c / s u d o e r s 配 置 文 件 分 析 配 置 文 件 分 析 % 开 头 ， 代 表 ” 将 要 授 权 组 “ ， 例 如 其 中 的 % a d m i n 、 % s u d o 。 % 不 开 头 的 ， 代 表 ” 将 要 授 权 的 用 户 “ ， 例 如 其 中 的 r o o t 。 r o o t   A L L = ( A L L : A L L )   A L L 第 一 个 A L L 的 意 思 是 r o o t 用 户 在 那 些 服 务 器 上 登 录 本 服 务 器 来 执 行 s u d o 命 令 。 第 二 个 和 第 三 个 A L L 则 表 示 可 以 切 换 到 任 何 （ 用 户 : 组 ） 。 第 四 个 为 A L L ， 则 表 示 可 以 执 行 任 意 命 令 。 例 如 图 中 ， 已 经 添 加 了 t e s t u s e r   A L L = ( A L L : A L L )   A L L 修 改 后 那 么 在 恶 意 用 户 下 ， 则 可 以 运 行 一 下 命 令 将 自 己 升 级 为 r o o t
s u d o   - u # - 1   i d   - u 或 者 s u d o   - u # 4 2 9 4 9 6 7 2 9 5   i d   - u         在 3 2 位 或 者 6 4 位 机 ， C 语 言 中 整 数 存 储 占 用 4 个 字 节 ， 一 个 字 节 8 位 ， 共 计 3 2 位         整 数 在 计 算 机 中 以 补 码 形 式 存 储 ， - 1 的 补 码 为 3 2 个 1 组 成 的 二 进 制 数 ， 按 无 符 号 数 输 出 这 个 二 进 制 数         就 是 2 ^ 3 2 - 1 = 4 2 9 4 9 6 7 2 9 5         由 于 采 用 补 码 表 示 整 数 ， 计 算 机 本 身 不 关 心 整 数 是 正 数 还 是 负 数 ， 统 一 按 无 符 号 数 对 待 。 具 体 输 出 时 ， 显 示 为 什 么 数 ， 计 算 机 按 编 程 者 的 格 式 要 求 进 行 处 理 输 出 。 如 3 2 个 1 组 成 的 二 进 制 数 ， 按 % d 输 出 就 是 - 1 ， 按 无 符 号 输 出 就 是 4 2 9 4 9 6 7 2 9 5 。         这 也 就 是 在 - 1 和 4 2 9 4 9 6 7 2 9 5 的 时 候   s u d o   对 其 I D 值 无 效 ， 实 际 上 他 们 返 回 的 值 为 0 通 过 分 析 s u d o 的 源 码 分 析
v o i d e x e c _ c m n d ( s t r u c t   c o m m a n d _ d e t a i l s   * d e t a i l s ,   s t r u c t   c o m m a n d _ s t a t u s   * c s t a t ,         i n t   e r r f d ) {         d e b u g _ d e c l ( e x e c _ c m n d ,   S U D O _ D E B U G _ E X E C )         r e s t o r e _ s i g n a l s ( ) ;         i f   ( e x e c _ s e t u p ( d e t a i l s ,   N U L L ,   - 1 )   = =   t r u e )   {                 / *   h e a d e d   f o r   e x e c v e ( )   * /                 s u d o _ d e b u g _ e x e c v e ( S U D O _ D E B U G _ I N F O ,   d e t a i l s - > c o m m a n d ,                                                     d e t a i l s - > a r g v ,   d e t a i l s - > e n v p ) ;                 s u d o _ e x e c v e ( d e t a i l s - > c o m m a n d ,   d e t a i l s - > a r g v ,   d e t a i l s - > e n v p ,                                         I S S E T ( d e t a i l s - > f l a g s ,   C D _ N O E X E C ) ) ;                 c s t a t - > t y p e   =   C M D _ E R R N O ;                 c s t a t - > v a l   =   e r r n o ;                 s u d o _ d e b u g _ p r i n t f ( S U D O _ D E B U G _ E R R O R ,   " u n a b l e   t o   e x e c   % s :   % s " ,                                                     d e t a i l s - > c o m m a n d ,   s t r e r r o r ( e r r n o ) ) ;         }         d e b u g _ r e t u r n ; } 其 中 e x e c _ s e t u p , S U D 0 _ D E B U G _ E X E C , 可 以 执 行 组 I D ， 及 创 建 掩 码
b o o l e x e c _ s e t u p ( s t r u c t   c o m m a n d _ d e t a i l s   * d e t a i l s ,   c o n s t   c h a r   * p t y n a m e ,   i n t   p t y f d ) {         b o o l   r v a l   =   f a l s e ;         d e b u g _ d e c l ( e x e c _ s e t u p ,   S U D O _ D E B U G _ E X E C ) ;         u n l i m i t _ n p r o c ( ) ; # i f d e f   H A V E _ S E T R E S U I D         i f   ( s e t r e s u i d ( d e t a i l s - > u i d ,   d e t a i l s - > e u i d ,   d e t a i l s - > e u i d )   ! =   0 )   {         s u d o _ w a r n ( U _ ( " u n a b l e   t o   c h a n g e   t o   r u n a s   u i d   ( % u ,   % u ) " ) ,   d e t a i l s - > u i d ,                 d e t a i l s - > e u i d ) ;         g o t o   d o n e ;         } # e l i f   d e f i n e d ( H A V E _ S E T R E U I D )         i f   ( s e t r e u i d ( d e t a i l s - > u i d ,   d e t a i l s - > e u i d )   ! =   0 )   {         s u d o _ w a r n ( U _ ( " u n a b l e   t o   c h a n g e   t o   r u n a s   u i d   ( % u ,   % u ) " ) ,                 ( u n s i g n e d   i n t ) d e t a i l s - > u i d ,   ( u n s i g n e d   i n t ) d e t a i l s - > e u i d ) ;         g o t o   d o n e ;         } # e l s e         i f   ( s e t e u i d ( d e t a i l s - > e u i d )   ! =   0   | |   s e t u i d ( d e t a i l s - > e u i d )   ! =   0 )   {         s u d o _ w a r n ( U _ ( " u n a b l e   t o   c h a n g e   t o   r u n a s   u i d   ( % u ,   % u ) " ) ,   d e t a i l s - > u i d ,                 d e t a i l s - > e u i d ) ;         g o t o   d o n e ;         } # e n d i f   / *   ! H A V E _ S E T R E S U I D   & &   ! H A V E _ S E T R E U I D   * /         / *   R e s t o r e   p r e v i o u s   v a l u e   o f   R L I M I T _ N P R O C .   * /         r e s t o r e _ n p r o c ( ) ;         r v a l   =   t r u e ; d o n e :         d e b u g _ r e t u r n _ b o o l ( r v a l ) ; } 通 过 源 码 分 析 其 中 有 三 个 函 数 可 以 设 置 用 户 权 限
s e t r e s u i d s e t r e u i d s e t e u i d         其 中 的 函 数 在 r o o t 权 限 时 参 数 可 以 改 变 为 任 何 I D ，         s u d o 程 序 最 初 会 调 用 了 s e t u i d ( r o o t _ u i d ) 使 程 序 的 进 程 获 得 的 r o o t 权 限 , 通 过 前 面 的 l s   - l   / u s r / b i n / s u d o 已 经 检 验 过 了         所 以 这 三 个 函 数 都 能 修 改 进 程 的 用 户 所 获 得 的 权 限 。 因 为 默 认 情 况 下 s u d o 会 将 权 限 提 升 为 r o o t         在 出 现 整 数 溢 出 的 时 候 ， - 1 或 者 4 2 9 4 9 6 7 2 9 5 则 被 判 断 为 0 返 回 为 真 ， 则 使 得 权 限 升 级 为 r o o t 。         调 用 s e t u i d 将 我 们 的 恶 意 用 户 设 置 为 r o o t , 从 而 执 行 任 意 命 令 。 N o . 4 N o . 4 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 漏 洞 修 复 D e b i a n : s u d o   a p t - g e t   u p d a t e   &   a p t - g e t   u p g r a d e   s u d o   a p t - g e t   u p g r a d e   s u d o R H E L : y u m   u p d a t e y u m   u p d a t e   s u d o 最 后 通 过 检 查 s u d o 的 版 本 号 是 否 大 于 等 于 1 . 8 . 2 9 s u d o   - V   |   g r e p   ' S u d o   v e r s i o n '
专 注 渗 透 测 试 技 术 全 球 最 新 网 络 攻 击 技 术 E N D
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理