cp / rsync命令，目标为目录的符号链接

Question

我正在研究cPanel备份解决方案。我们现在被告知这个漏洞。

漏洞利用：对服务器的完全ROOT访问

1。）从普通用户帐户创建恶意文件：

mkdir root
echo "hello" > root/.accesshash

2。）等待备份运行

3。）用符号链接替换root：

ln -s /root root

4.恢复root / .accesshash（我以root身份运行此命令：“cp -rf /backup/.accesshash / home / username / root /”）

5.。）用户现在具有root访问权限，因为我们覆盖了/root/.accesshash。攻击者可以通过在此文件中放入访问哈希来以root用户身份登录WHM。

root@cpanel [/home/master]# cat /root/.accesshash
hello
root@cpanel [/home/master]# ls -l /root/.accesshash
-rw-r--r-- 1 master master 3 Nov 20 21:41 /root/.accesshash
root@cpanel [/home/master]#

有人可以建议我解决这个问题吗？提前谢谢。

Answer 1

这里的关键问题是以root身份运行restore命令 。当针对特定受限用户（可能具有恶意意图）执行此操作时，必须以该用户身份运行它（或者可能作为更受限制的用户运行，在沙箱中恢复文件并稍后将其复制回来）。