从 setuid root C 程序调用脚本 - 脚本不以 root 身份运行

Question

我需要以 root 身份运行 bash 脚本（无密码 sudo 或 su 不可行），并且由于您无法在 Linux 中 setuid 脚本，我想从可执行文件中调用它并将其设置为setuid：

$ cat wrapper.c
int main(void)
{
        system("/bin/bash ./should_run_as_root.sh");
}
$ gcc -o wrapper wrapper.c
$ sudo chown root wrapper
$ sudo chmod ug+s wrapper
$ ll wrapper
-rwsr-sr-x 1 root users 6667 2009-02-17 11:11 wrapper
$

这有效 - 就像正确运行脚本一样 - 但脚本以执行“./wrapper”的用户身份运行。

为什么？ 以及如何正确实现这一点？

谢谢！

Answer 1

由于可执行文件上的suid位只更改可执行文件的有效 UID (EUID)，而不是getuid()返回的真实 UID (RUID)，并且除了对suid解释脚本的限制（任何以“开头的可执行文件”） #! ")，在这种情况下，像bash这样的一些 shell 作为额外的安全措施会将 EUID 设置回 RUID，您需要在执行脚本之前使用 C 代码中的调用setuid(0) 。

请参阅setuid 、 seteuid 、 getuid和geteuid的man页以了解真实有效的 UID 的确切语义。

(警告) 当然，这是一个恰当的观点，在许多 Unix 系统、shell 和解释器中对suid脚本的限制是有原因的，那就是如果脚本没有非常小心地清理其输入和执行时的环境状态，它们是危险的，可用于安全升级。 因此，在执行此操作时要非常小心。 尽可能严格地设置对脚本和包装器的访问，只允许执行您打算执行的非常具体的脚本，并在启动脚本之前清除 C 程序中的环境，设置环境变量（如PATH以准确包含什么以正确的顺序是必要的，并且没有可写给其他人的目录。

Answer 2

这里要注意的另一件事是这里的限制来自 bash 而不是 *nix 系统本身。 Bash 实际上对 SUID 脚本进行验证，以仅使用 EUID 根执行它们。 如果您使用较旧的贝壳，您通常会立即得到您想要的东西。 例如， sh 不进行这种验证：

$ cat wrapper.c
int main(void)
{
            system("/bin/sh -c whoami");
}

$ ls -l wrapper
-rwsr-sr-x 1 root users 8887 Feb 17 14:15 wrapper
$ ./wrapper
root

使用 bash：

$ cat wrapper.c
int main(void)
{
            system("/bin/bash -c whoami");
}

$ ls -l wrapper
-rwsr-sr-x 1 root users 8887 Feb 17 14:18 wrapper
$ ./wrapper
skinp

尽管如此，汤姆的答案通常是为 SUID 根程序制作包装器的方法

Answer 3

在脚本中添加 setuid(0) 并编译它。 它应该在此之后工作。

$ cat wrapper.c 
int main(void) 
{ 
        setuid(0);
        system("/bin/bash ./should_run_as_root.sh"); 
} 
$ gcc -o wrapper wrapper.c 
$ sudo chown root wrapper 
$ sudo chmod ug+s wrapper 
$ ll wrapper 
-rwsr-sr-x 1 root users 6667 2009-02-17 11:11 wrapper 
$ 

Answer 4

这些示例非常不安全，并且允许任何具有两种知识的人以 setuid 用户身份运行他们想要的任何程序。

除非您先清理环境，否则永远不要通过 shell，此处显示的大多数示例都容易在运行之前设置 IFS 和 PATH。

Answer 5

为什么 sudo 不可行？ 它避免了严重的安全漏洞，例如：

bash-3.2$ cat test
#!/bin/bash
echo ima shell script durp durp
bash-3.2$ chmod +x test
bash-3.2$ ./test
heh heh
bash-3.2$ 

由于环境没有得到适当的消毒，例如在这种情况下：

export echo='() { builtin echo heh heh; }'

sudo 清理了这种情况，也许还有其他边缘情况和陷阱，这些情况最好不要写入自定义 suid 包装器。