Gniazda UNIX: czy można sfałszować getsockopt() SO_PEERCRED?

Question

Czy istnieje (kompatybilne) sposobem fałszywej (jako root) w gniazda Unix (gniazd File System)poświadczeń rówieśnicze, który można otrzymać przez getsockopt() opcja SO_PEERCRED?

Tło:
muszę podłączyć do serwera aplikacji (których nie można modyfikować), który sprawdza UID procesu, który łączy się z nim za pośrednictwem SO_PEERCRED. Chciałbym sfałszować informacje, aby móc podłączyć do aplikacji jako root, również.

UPDATE

wyjaśnić kwestię:
Szukam nieinwazyjny sposób, że serwer widzi konkretnej sieci peer UID/GID. Rozwiązania są zniechęcony które trzeba zmienić jądra (lub wziąć użycie modułów jądra) lub które zmienia proces serwera lub jego załadunku/proces łączenie w jakikolwiek sposób (LD_PRELOAD, przechwyceniu wywołania systemowego itd.).

Zasadniczo rozwiązanie powinno działać, gdy działa na dowolnym serwerze Linux (lub unixie w ogóle) bez żadnych specjalnych wymagań. Proces serwera może już być uruchomiony.

Answer 1

Nie. Powodem jest to, że mechanizm udostępniający identyfikator UID i identyfikator GID rówieśnika to wewnętrzny dla jądra i nie można podszyć jądra! Jądro używa PID peera do dedukcji efektywnych poświadczeń peera. Dzieje się tak, gdy jedna strona ma connect na gnieździe. Zobacz wywołanie copy_peercred() od unix_stream_connect() w net/unix/af_unix.c. Nie ma żadnego sposobu, aby peer mógł zmienić wysyłane dane lub gniazdo, które przekona jądro, że PID peera nie jest tym, czym jest. Różni się to od gniazd AF_INET, w których jądro nie ma wewnętrznej wiedzy o procesie peera i widzi tylko dane w nagłówkach pakietów IP wysyłanych przez partnera.

Jedyną rzeczą, którą możesz zrobić, aby uzyskać ten efekt, jest ustawienie efektywnego UID procesu peera na root lub jakikolwiek inny UID/GID, a do tego potrzebujesz albo hasła root albo sudo uprawnień.

Answer 2

Jesteś na właściwej linii. Proces root'a ma uprawnienia do podszywania się pod takie rzeczy, problem polega tylko na tym, że SO_PEERCRED nie udostępnia żadnego mechanizmu ani interfejsu API dla procesu określania, jaka tożsamość powinna być przedstawiona uczestnikowi.

Dwie rzeczy, które możesz zrobić:

1. Tymczasowo upuść root (setreuid(desired,-1)) po dokonaniu połączenia connect. Połączenie w domenie unixowej jest stemplowane poświadczeniami peera w czasie procesu o nazwie connect (i listen dzieje się w drugą stronę). SO_PEERCRED nie podaje poświadczeń peera w danym momencie. Następnie możesz wznowić root.

2. Lepiej, użyj innego interfejsu API. Interfejs API przekazujący komunikaty pozwala procesowi wybrać to, co identyfikuje, aby przedstawić go jednemu z uczestników. Zadzwoń pod numer sendmsg z numerem struct cmsg, który zawiera poświadczenia, które chcesz wysłać. Jądro zignoruje poświadczenia określone przez nieuprawnionego użytkownika i zawsze upewni się, że druga strona widzi rzeczywistą tożsamość, ale proces uprzywilejowany może udawać, że jest kimkolwiek innym. Jest to lepsze dopasowanie do twoich potrzeb, ponieważ upuszczenie i odzyskanie root'a jest ryzykownym działaniem, a w tym przypadku niepotrzebnym. Google dla "SCM_CREDENTIALS" (lub "man -K" dla niego w twoim systemie), aby pobrać próbki kodu.