Jak získat SUID (diskuse)

[pasmen]

Taky do tohohle moc nevidim, ale jedna moznost je, ze svym programem, ktery neco (nekaleho) dela nahradi nejakou standartni soucast systemu (rekneme /bin/sh nebo cokoliv jineho), kterou vola nejaky systemovy program bezici pod rootem. Rekneme, ze ma nekdo treba v cronu uvedeno, ze se kazdou hodinu spusti skript /usr/local/bin/skript, typicky nejake zalohovani apod. Pokud se utocnikovi podari nahradit ten skript svym vlastnim programem, pak diky tomu ze treba cron bezi pod rootem ziska pro svuj program UID 0.

[pele]

Hmm, ale jak útočník ví jaky skript nahradit? Hádá? Jak jinak skrytě donutit roota aby přidělil suid a práva roota.

[pasmen]

Spis dlouho proleza napadnuty system. Podle zkusenosti a znalosti se mu driv nebo pozdeji podari nejakou chybku najit. To, co jsem rikal je jen jedna z moznych cest. Navic v danem pripade nejde temer nikdy o chybu v nejakem programu, ale o chybu admina (podceneni bezpecnosti). Kdybych se nekdy nahodou zkousel nekam dostat, jako prvni bych prave zacal zkoumat proflaknuta mista, kde muze admin udelat chybu. Vyuzit chyby v programu uz chce dost znalosti a ty ja nemam.

[al-Quaknaa]

A nebylo by pár příkladů, prosím? Budu teď na vzduch [veřejný INet] umisťovat svůj první webhostingový server a vcelku by mě tohle zajímalo ... Dík

[pasmen]

Nebylo Ja jsem takovehle veci taky nikdy nezkousel, jen jsem cetl par clanku, neco z hysteria.sk apod. Co vim je jen to, ze takto to teoreticky jde a ze to utocnici zkousi.

[Michal Kubeček]

Útočník nezískává SUID příznak pro svůj neškodný prográmek. Využívá chyby v programu, který s právy (obvykle) roota běží plánovitě a v souladu se scénářem - ta chyba mu umožní docílit toho, že program místo toho, co má, bude dělat to, co chce útočník. SUID programy patří k těm nejpříhodnějším: útočník si je může spustit, kdy potřebuje a předat jim parametry (nebo vstup), jaké potřebuje. Podobně populární jsou také síťoví démoni (kteří se navíc dají zneužít i vzdáleně).

[Filip Jirsák]

Jdete na to příliš složitě. Nejjednoduší způsob, jak získat suid bit, je napsat uživateli třeba do dokumentace k nějakému vašemu programu, že má jako root spustit chmod +s vas_program. Případně, pokud uživatel nepoužívá nějaký váš program, poradit mu to v diskuzním fóru, v e-mailové konferenci…

[petr_p]

Napr. podvrhnutim souboru symbolickym linkem na SUID binarku a zaroven podvrhnutim vstupu, ktery root zapise do podvrzeneho souboru.

Napr. postmasterovi poslete mail s prilohou typu image/png a budete predstirat, ze to je snimek vaseho postovniho klienta s chybovou hlaskou pri pripojovani na jeho POP3 server.

Zaroven se nejakym zpusobem dostanete jako normalni uzivatel na jeho stroj (to je predpoklad z vaseho blogoveho dotazu) a vyuzijete chybneho vytvareni docasne kopie zaslaneho obrazku (at uz predpovedi nazvu souboru nebo zamenou po vytvoreni). Symlink nasmerujete napr. na /sbin/su a az postovni klient roota ulozi prilohu, tak obsah prilohy (napr. zkopilovany execve("/bin/bash", ("pop3d", NULL), env)) prepise /sbin/su.

Pak staci jako bezny uzivatel spustit /sbin/su a mate shell s EUID=0 :)

[pasmen]

Tenhle scenar je sice hezky, ale dost nepravdepodobny. Nekdo, kdo vystavi mail server do i-netu si urcite nastavi alias pro postmaster -> root -> bezny user. A kdyby ne, nerekl bych, ze si root bude prohlizet postu vubec... To je docela zakladni pravidlo. Za druhe si nejsem jisty, ze budes mit opravneni na prepis docasne ulozene prilohy.

[petr_p]

Tenhle scenar je sice hezky, ale dost nepravdepodobny.

Vsechny scenare jsou o pravdepodobnosti. Tazatel chtel vedet, jak vyrobit SUID spustitelny program. Toto je jeden ze zpusobu. Samozrejme ze zadny zaruceny zpusob neni. To bychom pak mohli resit autorizaci ve stylu RMS :D

Za druhe si nejsem jisty, ze budes mit opravneni na prepis docasne ulozene prilohy.

Pravda. Tak proste budu hadat jmeno souboru a mezi stat() a open() stihnu vyrobit spravny symlink. Aplikaci pouzivajaci mktemp() je porad dost :)

[vogo]

jen tak stranou, SUID se pro skript nastavit nedá, jinak získat ho, je možné pouze, když se podaří přesvědčit roota, aby to udělal, nebo využít díry v programu, který to umožní, ale to už je zmíněno výše.

[Michal Kubeček]

jen tak stranou, SUID se pro skript nastavit nedá

Pro pořádek: nastavit se samozřejmě dá, jen nemá potřebný efekt. :-)

[vogo]

no dobrá :) jj tak je to zcela přesně

[Zdeněk Burda]

jen tak stranou, SUID se pro skript nastavit nedá

Pro pořádek: nastavit se samozřejmě dá, jen nemá potřebný efekt. :-)

Pokud nepoužijeme suidperl...

[Michal Kubeček]

I pak je ovšem z hlediska systému rozhodující především ten SUID bit na suidperlu…

[pele]

Děkuji všem za rady.