从 posix_spawn() 函数窥探漏洞逃逸

posix_spawn() 函数是用来在Linux上创建子进程的，头文件是 #include <spawn.h> ，语法如下：

#include <spawn.h>
int posix_spawn(pid_t *pid, const char *path,
                const posix_spawn_file_actions_t *file_actions,
                const posix_spawnattr_t *attrp,
                char *const argv[], char *const envp[]);

我们可以看到一共要传入六个参数，语法参数说明如下：

子进程 pid（pid 参数指向一个缓冲区，该缓冲区用于返回新的子进程的进程ID）
可执行文件的路径 path（其实就是可以调用某些系统命令，只不过要指定其完整路径）
file_actions 参数指向生成文件操作对象，该对象指定要在子对象之间执行的与文件相关的操作
attrp 参数指向一个属性对象，该对象指定创建的子进程的各种属性。
argv 和 envp 参数指定在子进程中执行的程序的参数列表和环境

详细文档可以通过 man posix_spawn 查看相关文档：

既然我们知道了这些参数，我们该如何利用这个呢？

我们先给一个 Demo 看看：

/*
* @Author: python
* @Date:   2020-01-12 17:28:31
* @Last Modified by:   python
* @Last Modified time: 2020-01-12 17:32:28
*/
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
#include <unistd.h>
#include <spawn.h>
#include <sys/wait.h>
/*
int posix_spawn(pid_t *pid, const char *path,
                const posix_spawn_file_actions_t *file_actions,
                const posix_spawnattr_t *attrp,
                char *const argv[], char *const envp[]);
*/
extern char **environ;

void run_cmd(char *cmd)
{
    pid_t pid;
    char *argv[] = {"sh", "-c", cmd, NULL};
    int status;
    printf("Run command: %s\n", cmd);
    status = posix_spawn(&pid, "/bin/sh", NULL, NULL, argv, environ);
    if (status == 0) {
        printf("Child pid: %i\n", pid);
        if (waitpid(pid, &status, 0) != -1) {
            printf("Child exited with status %i\n", status);
        } else {
            perror("waitpid");
        }
    } else {
        printf("posix_spawn: %s\n", strerror(status));
    }
}

int main(int argc, char* argv[])
{
    run_cmd(argv[1]);
    return 0;
}

运行结果如下图所示：

我们从结果可以看到，/bin/sh 的效果就类似于 sh 脚本中开头的 #!/bin/sh，指定了系统命令 sh 的路径，argv 就类似于 shell 脚本中要执行的代码，比如这里执行 sh -c cmd，而 cmd 参数由用户输入。

我们以 xman 第三界冬令营选拔赛 shellmaster 为例，由于环境已经宕机了，所以我找出题人拿到了源码，有兴趣的可以尝试用源码重新复现一下环境。

import os
import sys
import time

blacklist = [
	"$",
	"-",
	"_",
	"{",
	"}",
	"*",
	"2",
	"4"
]

def handler():
	print "Oops, are you a master?"
	os._exit(0)

print "Welcome to shell master!"
print "Start to wake up the shell ..."
time.sleep(3)
sys.stdout.flush()

while True:
	sys.stdout.write("master@ubuntu:~$ ")
	sys.stdout.flush()
	cmd = raw_input().upper()
	'''
	for i in blacklist:
		if i in cmd:
			print "blacklist: "+i
			handler()

	if len(cmd) > 16:
		print "len:"+len(cmd)
		handler()
	'''
	cmd += " 2>&1"
	print os.system(cmd)

我们从源码可以看到，输入的命令中所有字母都被替换成了大写字母，所以你如果通过 nc 连接之后，会发现无论输入什么命令，你会发现输入的所有字母都被替换成了大写字母，没法进行任何操作。

在这里，我们不得不提到一个有意思的东西，$0。

这个 $0 是什么东西呢，我们可以尝试打印一下：