Марк Митчелл - Программирование для Linux. Профессиональный подход

}

/* чтение целого числа из устройства /dev/random. */

if (read(random_fd, &random, sizeof(random)) != sizeof(random))

return -1;

/* Формирование имени файла из случайного числа. */

sprintf(filename, "/tmp/%u", random);

/* Попытка открытия файла. */

fd = open(filename,

/* Используем флаг O_EXCL. */

O_RDWR | O_CREAT | O_EXCL,

/* Разрешаем доступ только владельцу файла. "/

S_IRUSR | S_IWUSR);

if (fd == -1)

return -1;

/* Вызываем функцию lstat(), чтобы проверить, не является ли

файл символической ссылкой */

if (lstat(filename, &stat_buf) == -1)

return -1;

/* Если файл не является обычным файлом, кто-то пытается

обмануть нас. */

if (!S_ISREG(stat_buf.st_mode))

return -1;

/* Если файл нам не принадлежит, то, возможно, кто-то успел

подменить его. */

if (stat_buf.st_uid != geteuid() ||

stat_buf.st_gid != getegid())

return -1;

/* Если у файла установлены дополнительные биты доступа,

что-то не так. */

if ((stat_buf.st_mode & ~(S_IRUSR | S_IWUSR)) != 0)

return -1;

return fd;

}

Рассмотренная функция вызывает функцию open()для создания файла, а затем функцию lstat()для проверки того, что файл не является символической ссылкой. Внимательный читатель обнаружит здесь то, что называется состоянием гонки. Между вызовами функций open()и lstat()злоумышленник может успеть удалить файл и заменить его символической ссылкой. Это не вызовет разрушающих последствий, но приведет к тому, что функция завершится ошибкой и не сможет выполнить свою задачу. Такой тип атаки называется отказом от обслуживания .

В данной ситуации на помощь приходит sticky-бит. Поскольку для каталога /tmpон установлен, никто не сможет удалить файлы из этого каталога, не будучи их владельцем. Естественно, пользователю rootразрешено делать все что угодно, но если хакер сумел получить привилегии суперпользователя, вас уже ничто не спасет.

Грамотный системный администратор не допустит, чтобы каталог /tmpбыл смонтирован через NFS, поэтому на практике можно пользоваться функцией mkstemp(). Если же речь идет о другом каталоге, то нельзя ни доверять флагу O_EXCL, ни рассчитывать на установку sticky-бита.

Третья распространенная проблема безопасности, о которой должен помнить каждый программист, заключается в несанкционированном запуске программ через интерпретатор команд. В качестве наглядной демонстрации рассмотрим сервер словарей. Серверная программа ожидает поступления запросов через Internet. Клиент посылает слово, а сервер сообщает, является ли оно корректным словом английского языка. В любой Linux-системе имеется файл /usr/dict/words, в котором содержится список 45000 слов, поэтому серверу достаточно выполнить такую команду:

% grep -х слово /usr/dict/words

Код завершения команды grepсообщит о том, обнаружено ли указанное слово в файле /usr/dict/words.

В листинге 10.6 показан пример реализации поискового модуля сервера.

#include

#include

/* Функция возвращает ненулевое значение, если аргумент WORD

встречается в файле /usr/dict/words. */

int grep_for_word(const char* word) {

size_t length;

char* buffer;

int exit_code;

/* Формирование строки 'grep -x WORD /usr/dict/words'.

Строка выделяется динамически во избежание

переполнения буфера. */

length =

strlen("grep -х ") + strlen(word) +

strlen(" /usr/dict/words") + 1;

buffer = (char*)malloc(length);

sprintf(buffer, "grep -x %s /usr/dict/words", word);

/* Запуск команды. */

exit_code = system(buffer);

/* Очистка буфера. */

free(buffer);

/* Если команда grep вернула значение 0, значит, слово найдено

в словаре. */

return exit_code == 0;

}

Обратите внимание на подсчет числа символов в строке и динамическое выделение буфера, что позволяет обезопасить программу от переполнения буфера. К сожалению, небезопасна сама функция system()(описана в разделе 3.2.1, "Функция system()"). Функция вызывает стандартный интерпретатор команд и принимает от него код завершения. Но что произойдет, если злоумышленник вместо слова введет показанную ниже строку?

foo /dev/null; rm -rf /

В этом случае сервер выполнит такую команду:

grep -х foo /dev/null; rm -rf / /usr/dict/words

Теперь проблема стала очевидной. Пользователь запустил одну команду, якобы grep, а на самом деле их оказалось две, так как интерпретатор считает точку с запятой разделителем команд. Первая команда — это по-прежнему безобидный вызов утилиты grep, зато вторая команда пытается удалить все файлы в системе. Даже если серверная программа не имеет привилегий суперпользователя, она удалит все файлы, доступные запустившему ее пользователю. Похожая проблема возникает и при использовании функции popen()(описана в разделе 3.4.4, "Функции popen()и pclose()"), которая создает канал между родительским и дочерним процессами, но тоже вызывает интерпретатор для запуска команды.