2020-2021-1 20209329《Linux内核原理与分析》第十二周作业

《linux内核原理与分析》第十二周作业

作业信息

这个作业属于哪个课程	<2020-2021-1Linux内核原理与分析）>
这个作业要求在哪里	<2020-2021-1Linux内核原理与分析第十二周作业>
这个作业的目标	<SET-UID程序漏洞实验>
作业正文	https://www.cnblogs.com/Alannic/p/14186476.html

SET-UID程序漏洞实验

1.没有 Set-UID 机制的情况

在输入以下命令，观察情况：

cp /usr/bin/passwd /tmp/passwd
ls -la /usr/bin/passwd
ls -la /tmp/passwd

接下来，运行复制的passwd，观察

从上面的截图可以看出：将 passwd 拷贝到 /tmp/ 下，权限发生了变化（在原目录下 suid 位被设置），复件没有了修改密码的权限。
2.运行 Set-UID 程序

以 root 方式登录，拷贝 /usr/bin/zsh 到 /tmp, 同时设置拷贝到 tmp 目录下的 zsh 为 set-uid root 权限，然后以普通用户登录，运行 /tmp/zsh。观察是否会获得root权限。

普通用户运行tmp目录下的zsh获得了root权限。
拷贝 /bin/bash 到 /tmp 目录，同时设置 /tmp 目录下的 bash 为 Set-UID root 权限，然后以普通用户登录，运行 /tmp/bash。观察是否会获得root权限。

可见，同样的操作，运行复制的 zsh 可以获得 root 权限，而 bash 不能。

3.Bash 内在保护机制

从上面步骤可以看出，/bin/bash 有某种内在的保护机制可以阻止 Set-UID 机制的滥用。为了能够体验这种内在的保护机制出现之前的情形，需要使用另外一种shell程序——/bin/zsh。
输入以下命令，会把默认的shell指向zsh：

sudo su
cd /bin
rm sh
ln -s zsh sh

4.PATH 环境变量的设置
在 /tmp 目录下新建 test.c 文件，输入如下内容：

#include <stdlib.h>
int main()
{
   system("ls");
   return 0;
}

把 /bin/sh 拷贝到 /tmp 目录下面重命名为 ls（先要确保 /bin/ 目录下的 sh 符号链接到 zsh，而不是 bash），将环境变量 PATH 设置为当前目录 /tmp，运行编译的程序 test。

恢复环境变量 PATH ，然后修改 /bin/sh 使得其返回到 /bin/bash，重复上面的攻击，是否还能获得root权限。

PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/games:/usr/local/games

可见修改 sh 连接回 bash，运行 test 程序不能使普通用户获得 root 权限。

5.system() 和 execve() 的不同

首先确保 /bin/sh 指向zsh:

sudo su
cd /bin
rm sh
ln -s zsh sh

使用如下命令恢复 PATH：

PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/usr/games:/usr/local/games

首先在 /tmp 目录下新建 SRU.c 文件，内容如下：

#include <string.h>
#include <stdio.h>
#include <stdlib.h>
int main(int argc, char *argv[])
{
   char *v[3];
   if(argc < 2)
   {
   printf("Please type a file name.\n");
   return 1;
   }
   v[0] = "/bin/cat"; v[1] = argv[1]; v[2] = 0;
  //Set q = 0 for Question a, and q = 1 for Question b
   int q = 0;
   if (q == 0)
   {
      char *command = malloc(strlen(v[0]) + strlen(v[1]) + 2);
      sprintf(command, "%s %s", v[0], v[1]);
      system(command);
  }
  else execve(v[0], v, 0);
  return 0 ;
}

程序中有 q=0，程序会使用 system() 调用命令行。这个命令不安全，用户可能会出于好奇或者个人利益驱使阅读或者修改只有 root 用户才可以运行的一些文件。

比如截图中：file 文件只有 root 用户有读写权限，但普通用户通过运行该程序，阅读并重命名了 file 文件。

6.LD_PRELOAD 环境变量

建立一个动态链接库。把下面的程序命名为 mylib.c，放在 /tmp 目录下。在函数库 libc 中重载了 sleep 函数：

#include <stdio.h>
void sleep (int s)
{
    printf("I am not sleeping!\n");
}

终端用下面的命令编译上面的程序

gcc -fPIC -g -c mylib.c

gcc -shared -Wl,-soname,libmylib.so.1 \
-o libmylib.so.1.0.1 mylib.o –lc

把下面的程序命名为 myprog.c，放在 /tmp 目录下：

#include <stdlib.h>
int main()
{
   sleep(1);
   return 0;
}

把 myprog 编译成一个普通用户下的程序在普通用户下运行

可见，它会使用 LD_PRELOAD 环境变量，重载 sleep 函数
把 myprog 编译成一个 Set-UID root 的程序在普通用户下运行

在这种情况下，忽略 LD_PRELOAD 环境变量，不重载 sleep 函数，使用系统自带的 sleep 函数
把 myprog 编译成一个 Set-UID root 的程序在 root 下运行

在这种情况下，使用 LD_PRELOAD 环境变量，使用重载的 sleep 函数
在一个普通用户下把 myprog 编译成一个 Set-UID 普通用户的程序在另一个普通用户下运行

在这种情况下，不会重载 sleep 函数

7.消除和清理特权

在 root 用户下，在 /tmp 目录新建一个空文件 zzz。在 root 用户下将下面代码命名为 test2.c，放在 /tmp 目录下，编译这个程序，给这个程序设置 root 权限。

#include <stdlib.h>
#include <stdio.h>
#include <sys/types.h>
#include <fcntl.h>

int main(){

    int fd;
    fd = open("/tmp/zzz",O_RDWR|O_APPEND);
    sleep(1);
    setuid(getuid());
    pid_t pid ;

    if( ( pid = fork() ) < 0 )
        perror("fork error");
    else if( pid == 0 ){
        // child process
        write( fd , "shiyanlou!" , 10 );
    }

    int status=waitpid(pid,0,0);
    close(fd);

    return 0;
}