Solaris下究竟如何使用setuid/seteuid/setreuid

南非蜘蛛

59. Solaris下究竟如何使用setuid/seteuid/setreuid

Q: 我被setuid/seteuid/setreuid搞疯了，到底怎么使用它们？

A: 下面是Solaris 7的setuid(2)手册页

系统调用                                                setuid(2)

名字

     setuid、setegid、seteuid、setgid - 设置UID和GID

摘要

     #include <sys/types.h>;
     #include <unistd.h>;

     int setuid  ( uid_t uid );
     int seteuid ( uid_t euid );
     int setgid  ( gid_t gid );
     int setegid ( gid_t egid );

描述

     seteuid()只设置EUID。如果当前EUID为0，形参euid任意指定。否则
     形参euid应该是RUID、EUID、SUID之一。无论如何，最终只影响当前
     EUID。

     setegid()只设置EGID。如果当前EUID为0，形参egid任意指定。否则
     形参egid应该是RGID、EGID、SGID之一。无论如何，最终只影响当前
     EGID。

     登录时，RUID、EUID、SUID设置成登录ID。

     进程调用exec(2)执行一个程序文件，考虑两种情况：

     a. 程序文件set-user-id，则相应进程EUID、SUID被设置成这个程序
        文件的属主ID。

        程序文件set-group-id，则相应进程EGID、SGID被设置成这个程
        序文件的属组ID。

     b. 程序文件没有set-user-id，则相应进程EUID、SUID不变。

        程序文件没有set-group-id，则相应进程EGID、SGID不变。

     如果当前EUID为0，任意调用setuid()同时设置RUID、EUID、SUID。

     如果当前EUID为0，任意调用setgid()同时设置RGID、EGID、SGID。

     如果当前EUID不为0，形参uid等于RUID或者SUID，调用setuid()后当
     前EUID被设置成形参uid，RUID、SUID不受影响。

     如果当前EUID不为0，形参gid等于RGID或者SGID，调用setgid()后当
     前EGID被设置成形参gid，RGID、SGID不受影响。

返回值

     0  成功
     -1 失败，errno被设置

错误值

     EINVAL    形参uid、gid等不在合法范围内

     EPERM     当前EUID不为0，形参指定不符合前面描述

属性

    ___________________________________________________________
   |        ATTRIBUTE TYPE       |        ATTRIBUTE VALUE      |
   | ____________________________|_____________________________|
   |  MT-Level                   |  setuid() and  setgid()  and|
   |                             |  Async-Signal-Safe          |
   |_____________________________|_____________________________|

参看

     intro(2)、exec(2)、getgroups(2)、getuid(2)、attributes(5)
     stat(5)

A: 下面是Solaris 7的setreuid(2)手册页

系统调用                                              setreuid(2)

名字

     setreuid - 设置RUID、EUID

摘要

     #include <unistd.h>;

     int setreuid ( uid_t ruid, uid_t euid );

描述

     setreuid()设置RUID、EUID，最终可能导致SUID改变。

     如果形参ruid为-1，RUID不变。如果形参euid为-1，EUID不变。形参
     ruid、euid可以不同。

     如果EUID为0，形参ruid、euid可以是任意合法值。

     如果EUID不为0，形参ruid可以等于当前RUID、当前EUID，形参euid
     可以等于当前RUID、当前EUID、当前SUID。

     两种情况下，如果RUID被成功修改(形参ruid不为-1)，或者EUID被成
     功修改(形参euid不为-1)并且不等于最终RUID，则最终SUID被设置成
     最终EUID。

返回值

     0  成功
     -1 失败，errno被设置

错误值

     EINVAL    形参ruid、euid等不在合法范围内。
               /usr/include/limits.h中定义了合法范围
               [0, 2147483647(UID_MAX)]。

     EPERM     当前EUID不为0，形参指定不符合前面描述。

用法

     一个set-user-id进程调用setreuid()修改当前EUID成当前RUID后，
     依然可以调用setreuid()修改当前EUID成当前SUID

参看

     exec(2)、getuid(2)、setregid(2)、setuid(2)

D: 小四 <cloudsky@263.net | scz@nsfocus.com>;

从Solaris 2.6/7源码中可以看到，由于SUID的存在，存在很多安全隐患。

对于一个setuid-to-root的程序，如果需要永久放弃特权，应该在当前EUID为0的时
候调用setuid( not root )放弃特权。或者调用setreuid( not root, not root )放
弃特权。只有这两种正确办法，否则始终有机会重获特权。

假设当前ruid == 500、euid == 0、suid == 0，

setreuid( -1, 500 );  <-- 临时放弃特权 ruid == 500、euid == 500、suid == 0
setreuid( -1, 0 );    <-- 恢复特权 ruid == 500、euid == 0、suid == 0
setuid( 500 );        <-- 永久放弃特权 ruid == euid == suid == 500

某些系统可能不支持SUID，假设当前ruid == 500、euid == 0，

setuid( 0 );          <-- 现在ruid == euid == 0
setreuid( -1, 500 );  <-- 现在ruid == 0、euid == 500
seteuid( 0 );         <-- 现在ruid == euid == 0

显然在某些shellcode编写过程中，应该是这个调用顺序成功几率最大：

seteuid( 0 );
setuid( 0 );

下面这个程序演示如何调用setreuid()、setregid()永久放弃setuid、setgid特权

--------------------------------------------------------------------------
/* gcc -Wall -O3 -o ugtest ugtest.c */
#include <stdio.h>;
#include <stdlib.h>;
#include <sys/types.h>;
#include <unistd.h>;

int main ( int argc, char * argv[] )
{
    uid_t temp_ruid, temp_euid, orig_ruid, orig_suid;
    gid_t temp_rgid, temp_egid, orig_rgid, orig_sgid;

    orig_ruid = temp_ruid = getuid();
    orig_suid = temp_euid = geteuid();
    orig_rgid = temp_rgid = getgid();
    orig_sgid = temp_egid = getegid();
    printf( "ruid = %d euid = %d suid = %d\n", ( int )temp_ruid,
            ( int )temp_euid, ( int )orig_suid );
    printf( "rgid = %d egid = %d sgid = %d\n", ( int )temp_rgid,
            ( int )temp_egid, ( int )orig_sgid );
    if ( setregid( orig_rgid, orig_rgid ) < 0 )
    {
        perror( "Faint setregid" );
    }
    if ( setreuid( orig_ruid, orig_ruid ) < 0 )
    {
        perror( "Faint setreuid" );
    }
    temp_ruid = getuid();
    temp_euid = geteuid();
    temp_rgid = getgid();
    temp_egid = getegid();
    printf( "ruid = %d euid = %d\n", ( int )temp_ruid, ( int )temp_euid );
    printf( "rgid = %d egid = %d\n", ( int )temp_rgid, ( int )temp_egid );
    if ( setegid( orig_sgid ) < 0 )
    {
        perror( "I see setegid" );
    }
    if ( seteuid( orig_suid ) < 0 )
    {
        perror( "I see seteuid" );
    }
    return( EXIT_SUCCESS );
}  /* end of main */
--------------------------------------------------------------------------

[scz@ /export/home/scz/src]>; ls -l ./ugtest
-rwsr-sr-x   1 warning3 root        5416  6月  7 15:29 ./ugtest*
[scz@ /export/home/scz/src]>; ./ugtest
ruid = 500 euid = 501 suid = 501  <-- setuid-to-<not root>;
rgid = 100 egid = 0 sgid = 0      <-- setgid-to-root
ruid = 500 euid = 500             <-- 即使整个过程中没有EUID为0的机会，
rgid = 100 egid = 100                 还是成功地永久释放了特权
I see setegid: Not owner
I see seteuid: Not owner
[scz@ /export/home/scz/src]>;

D: tt <warning3@nsfocus.com>; 2001-06-07 14:04

如果一个Solaris下的程序setuid-to-<any>;，应该尽量使用setreuid()永久放弃特权，
而不是setuid()，因为这样最通用。尤其当setuid-to-<not root>;的时候，setuid()
根本无法永久放弃特权。

如果一个Solaris下的程序setgid-to-<any>;，应该尽量使用setregid()永久放弃特权，
而不是setgid()，因为这样最通用。尤其当整个过程中无法满足EUID为0的时候，
setgid()根本无法永久放弃特权。

假设一个Solaris下的程序同时setuid、setgid过，较理想的释放顺序应该是先释放
setgid特权，后释放setuid特权。