58、基于应用的文件系统与进程服务攻击技术解析

基于应用的文件系统与进程服务攻击技术解析

1. 扩展文件系统功能与攻击

操作系统通常支持扩展文件系统功能，攻击者可利用这些功能来整合文件系统访问或进行权限提升，UNIX 文件系统及其扩展文件系统尤为如此。

1.1 符号链接与硬链接攻击

UNIX 操作系统支持符号（“软”）链接和硬链接，它们本质上是指向文件系统其他区域或其他文件的指针或“别名”。例如，创建符号链接：

ln –s /etc/passwd /etc/obscurefile

这会创建一个从 /etc/obscurefile 到 /etc/passwd 的指针，对 /etc/obscurefile 执行的任何操作（除删除操作外）也会在 /etc/passwd 上执行。硬链接直接链接到目标文件，删除硬链接会导致“目标”文件被删除。攻击者可操纵硬链接和软链接，对隐藏文件进行意外更新、更改文件权限，以及删除或损坏关键操作系统或应用程序文件。Windows 2000（NTFS 5）为了兼容 POSIX 支持硬链接，也容易受到与 UNIX 硬链接相同类型的攻击。

1.2 SetUID 和 SetGID 攻击

Set User ID（SetUID 或 SUID）和 Set Group ID 程序在特权账户的进程上下文中执行，但普通非特权用户也可执行。常见的 SUID 和 SGID 程序包括执行时需要操作系统特权，但普通用户账户必须能够访问的操作系统二进制文