U盘目录穿越获取车机SHELL（内含模拟环境可上手实践）

​ 利用 U 盘 Getshell 是不是还停留在 Badusb、病毒U盘上，这次就来看一个不一样的。前段时间在浏览 Github 时看到了一个日产车机破解项目，其中有利用 U 盘获取车机 SHELL 的骚操作。感觉挺有意思的，花了点时间找到了车机固件并复现了漏洞。顺手写了一个 Dockerfile 供大家一起玩耍。

目录穿越

​ 目录穿越大多发生在 WEB 中，没想到竟然还能出现在硬件设备中。

​ 车机的操作系统为 Linux，U 盘等外设热插拔由 udev 实现。udev 是 Linux 内核的设备管理器，配置文件在 /etc/udev 下 。udev 会根据设备的 UUID 和 LABEL，构造挂载点。UUID 是块设备的唯一标识符，LAEBL 是块设备的一个标签。

​ 车机中自定义了 U 盘挂载脚本，在 udev 配置文件 /etc/udev/rules.d/local.rules 中指定 block 设备由脚本 /etc/udev/scripts/mount.sh处理。

SUBSYSTEM=="block", ACTION=="add",    KERNEL=="sd*", ENV{ID_FS_TYPE}=="?*", \
            ENV{DKD_PARTITION_TABLE}!="1", \
            ENV{DKD_PRESENTATION_HIDE}!="1", \
            RUN+="/etc/udev/scripts/mount.sh", RUN+="/etc/udev/scripts/trace_proxy.sh"
SUBSYSTEM=="block", ACTION=="remove", KERNEL=="sd*", ENV{ID_FS_TYPE}=="?*", RUN+="/etc/udev/scripts/mount.sh", RUN+="/etc/udev/scripts/trace_proxy.sh"
SUBSYSTEM=="block", ACTION=="change", KERNEL=="sd*", ENV{DEVTYPE}=="disk",  RUN+="/etc/udev/scripts/mount.sh"

​ 问题就出现mount.sh 脚本中，使用 ../../可实现路径穿越，获取系统权限。

MOUNT="/bin/mount"
UMOUNT="/bin/umount"
MOUNTPT="/dev/media"
MOUNTDB="