（2024-2025-1）20242828-《Linux内核原理与分析》第十二周作业

（2024-2025-1）20242828-《Linux内核原理与分析》第十二周作业

一、SET-UID程序漏洞实验

Set-UID 是 Unix 系统中的一个重要的安全机制。当一个 Set-UID 程序运行的时候，它被假设为具有拥有者的权限。例如，如果程序的拥有者是root，那么任何人运行这个程序时都会获得程序拥有者的权限。Set-UID 允许我们做许多很有趣的事情，但不幸的是，它也是很多坏事情的罪魁祸首。

因此本次实验的目标有两点：

1. 欣赏好的方面，理解为什么 Set-UID 是需要的，以及它是如何被执行的。

2. 注意坏的方面，理解它潜在的安全性问题。

二、实验内容

1、没有 Set-UID 机制的情况

passwd，chsh，su，和 sudo 命令都具有 Set-UID 机制，如果它们没有这些机制的话，会发生什么。通过以下命令来进行测试：

打开终端，执行以下命令，使得test.c文件中新增“exec“函数；

cp /usr/bin/passwd /tmp/passwd
ls -la /usr/bin/passwd
ls -la /tmp/passwd
# shiyanlou 用户密码可以通过点击右侧工具栏环境信息看到
/tmp/passwd
/usr/bin/passwd

从上面的截图可以看出：将 passwd 拷贝到 /tmp/ 下，权限发生了变化（在原目录下 suid 位 被设置），复件没有了修改密码的权限。

对于 chsh，su，和 sudo 命令，把这些程序拷贝到用户目录下，同样不再具有 root 权限。

2、运行 Set-UID 程序

以 root 方式登录，拷贝 /usr/bin/zsh 到 /tmp, 同时设置拷贝到 tmp 目录下的 zsh 为 set-uid root 权限，然后以普通用户登录，运行 /tmp/zsh。观察是否获得root 权限。

通过上述运行结果，可知普通用户运行tmp目录下的zsh获得了root权限；

接下来，拷贝 /bin/bash 到 /tmp 目录，同时设置 /tmp 目录下的 bash 为 Set-UID root 权限，然后以普通用户登录，运行 /tmp/bash。观察是否获得root 权限。

通过上述运行结果，可知运行tmp目录下的bash无法获得root权限。

可见，同样的操作，运行复制的 zsh 可以获得 root 权限，而 bash 不能。

3、Bash 内在保护机制

从上面步骤可以看出，/bin/bash 有某种内在的保护机制可以阻止 Set-UID 机制的滥用。为了能够体验这种内在的保护机制出现之前的情形，使用另外一种shell程序——/bin/zsh。在一些 linux 的发行版中（比如 Fedora 和 Ubuntu），/bin/sh 实际上是 /bin/bash 的符号链接。为了使用 zsh，需要把 /bin/sh 链接到 /bin/zsh。

通过以下指令能将默认的shell指向zsh：

sudo su
cd /bin
rm sh
ln -s zsh sh

4、PATH 环境变量的设置

system(const char * cmd) 系统调用函数被内嵌到一个程序中执行一个命令，system() 调用 /bin/sh 来执行 shell 程序，然后 shell 程序去执行 cmd 命令。但是在一个 Set-UID 程序中 system() 函数调用 shell 是非常危险的，这是因为 shell 程序的行为可以被环境变量影响，比如 PATH；而这些环境变量可以在用户的控制当中。通过控制这些变量，用心险恶的用户就可以控制 Set-UID 程序的行为。

下面的 Set-UID 程序被用来执行 /bin/ls 命令；然后程序员可以为 ls 命令使用相对路径，而不是绝对路径。在 /tmp 目录下新建 test.c 文件，输入如下内容：

int main()
{
   
   system("ls");
   return 0;
}

把 /bin/sh 拷贝到 /tmp 目录下面重命名为 ls（先要确保 /bin/ 目录下的 sh 符号链接到 zsh，而不是 bash），将环境变量 PATH 设置为当前目录 /tmp，运行编译的程序 test。即可获得 root 权限：

有运行结果可知，普通用户运行test程序，获得root权限。

接下来，先恢复环境变量 PATH ，然后修改 /bin/sh 使得其返回到 /bin/bash，重复上面的攻击，观察是否获得root权限：