euid, ruid, suid

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Deepen your expertise in Mobile Security with 8kSec Academy. Master iOS and Android security through our self-paced courses and get certified:

On-demand Mobile Security Training | 8kSec Academy8kSec Academy

ユーザー識別変数

• ruid: 実ユーザーIDは、プロセスを開始したユーザーを示します。

• euid: 有効ユーザーIDとして知られ、システムがプロセスの特権を確認するために使用するユーザーの識別を表します。一般的に、euidはruidと同じですが、SetUIDバイナリの実行のような場合には、euidがファイル所有者の識別を引き受け、特定の操作権限を付与します。

• suid: この保存されたユーザーIDは、高特権プロセス（通常はrootとして実行される）が特定のタスクを実行するために一時的に特権を放棄し、後に元の昇格した状態を取り戻す必要があるときに重要です。

重要な注意

rootでないプロセスは、euidを現在のruid、euid、またはsuidに一致させることしかできません。

set*uid関数の理解

• setuid: 初期の仮定とは異なり、setuidは主にruidではなくeuidを変更します。特に特権プロセスの場合、指定されたユーザー（通常はroot）にruid、euid、およびsuidを合わせ、これらのIDを強化します。詳細な情報はsetuidマニュアルページで確認できます。

• setreuidおよびsetresuid: これらの関数は、ruid、euid、およびsuidの微妙な調整を可能にします。ただし、その機能はプロセスの特権レベルに依存します。非rootプロセスの場合、変更は現在のruid、euid、およびsuidの値に制限されます。一方、rootプロセスまたはCAP_SETUID権限を持つプロセスは、これらのIDに任意の値を割り当てることができます。詳細はsetresuidマニュアルページおよびsetreuidマニュアルページで確認できます。

これらの機能は、セキュリティメカニズムとしてではなく、プログラムが有効ユーザーIDを変更して他のユーザーの識別を採用するなど、意図された操作フローを促進するために設計されています。

特に、setuidはrootへの特権昇格の一般的な手段であるかもしれませんが（すべてのIDをrootに合わせるため）、これらの関数の違いを理解し、さまざまなシナリオでユーザーIDの動作を操作することが重要です。

Linuxにおけるプログラム実行メカニズム

execveシステムコール

• 機能: execveは、最初の引数によって決定されるプログラムを開始します。引数用の2つの配列引数argvと環境用のenvpを取ります。

• 動作: 呼び出し元のメモリ空間を保持しますが、スタック、ヒープ、およびデータセグメントを更新します。プログラムのコードは新しいプログラムによって置き換えられます。

• ユーザーIDの保持:

• ruid、euid、および追加のグループIDは変更されません。

• 新しいプログラムにSetUIDビットが設定されている場合、euidに微妙な変更があるかもしれません。

• 実行後にsuidはeuidから更新されます。

• 文書: 詳細な情報はexecveマニュアルページで確認できます。

system関数

• 機能: execveとは異なり、systemはforkを使用して子プロセスを作成し、その子プロセス内でコマンドをexeclを使用して実行します。

• コマンド実行: shを介してコマンドを実行します。execl("/bin/sh", "sh", "-c", command, (char *) NULL);。

• 動作: execlはexecveの一形態であり、同様に動作しますが、新しい子プロセスの文脈で実行されます。

• 文書: さらなる洞察はsystemマニュアルページから得られます。

SUIDを持つbashとshの動作

• bash:

• euidとruidの扱いに影響を与える-pオプションがあります。

• -pなしでは、bashはeuidをruidに設定します。

• -pありでは、初期のeuidが保持されます。

• 詳細はbashマニュアルページで確認できます。

• sh:

• bashの-pに類似したメカニズムはありません。

• ユーザーIDに関する動作は明示的に記載されておらず、-iオプションの下でeuidとruidの等価性の保持が強調されています。

• 追加情報はshマニュアルページで確認できます。

これらのメカニズムは、異なる動作を持ち、プログラムの実行と遷移のための多様なオプションを提供し、ユーザーIDの管理と保持における特定のニュアンスを持っています。

実行におけるユーザーIDの動作のテスト

例はhttps://0xdf.gitlab.io/2022/05/31/setuid-rabbithole.html#testing-on-jailから取得したもので、さらなる情報はそちらで確認してください。

ケース1: systemとのsetuidの使用

目的: systemとbashをshとして組み合わせたときのsetuidの効果を理解すること。

Cコード:

#define _GNU_SOURCE
#include <stdlib.h>
#include <unistd.h>

int main(void) {
setuid(1000);
system("id");
return 0;
}

コンパイルと権限:

oxdf@hacky$ gcc a.c -o /mnt/nfsshare/a;
oxdf@hacky$ chmod 4755 /mnt/nfsshare/a

bash-4.2$ $ ./a
uid=99(nobody) gid=99(nobody) groups=99(nobody) context=system_u:system_r:unconfined_service_t:s0

分析:

• ruid と euid はそれぞれ 99 (nobody) と 1000 (frank) から始まります。

• setuid は両方を 1000 に揃えます。

• system は sh から bash へのシンボリックリンクのため /bin/bash -c id を実行します。

• bash は -p なしで euid を ruid に合わせるため、両方が 99 (nobody) になります。

ケース 2: system で setreuid を使用する

C コード:

#define _GNU_SOURCE
#include <stdlib.h>
#include <unistd.h>

int main(void) {
setreuid(1000, 1000);
system("id");
return 0;
}

コンパイルと権限:

oxdf@hacky$ gcc b.c -o /mnt/nfsshare/b; chmod 4755 /mnt/nfsshare/b

実行と結果:

bash-4.2$ $ ./b
uid=1000(frank) gid=99(nobody) groups=99(nobody) context=system_u:system_r:unconfined_service_t:s0

分析:

• setreuid は ruid と euid の両方を 1000 に設定します。

• system は bash を呼び出し、ユーザー ID の等価性によりそれらを維持し、実質的に frank として動作します。

ケース 3: execve とともに setuid を使用する

目的: setuid と execve の相互作用を探る。

#define _GNU_SOURCE
#include <stdlib.h>
#include <unistd.h>

int main(void) {
setuid(1000);
execve("/usr/bin/id", NULL, NULL);
return 0;
}

実行と結果:

bash-4.2$ $ ./c
uid=99(nobody) gid=99(nobody) euid=1000(frank) groups=99(nobody) context=system_u:system_r:unconfined_service_t:s0

分析:

• ruidは99のままですが、euidはsetuidの効果に従って1000に設定されています。

Cコード例 2 (Bashを呼び出す):

#define _GNU_SOURCE
#include <stdlib.h>
#include <unistd.h>

int main(void) {
setuid(1000);
execve("/bin/bash", NULL, NULL);
return 0;
}

実行と結果:

bash-4.2$ $ ./d
bash-4.2$ $ id
uid=99(nobody) gid=99(nobody) groups=99(nobody) context=system_u:system_r:unconfined_service_t:s0

分析:

• euidがsetuidによって1000に設定されているにもかかわらず、bashは-pがないためにeuidをruid（99）にリセットします。

Cコード例 3（bash -pを使用）:

#define _GNU_SOURCE
#include <stdlib.h>
#include <unistd.h>

int main(void) {
char *const paramList[10] = {"/bin/bash", "-p", NULL};
setuid(1000);
execve(paramList[0], paramList, NULL);
return 0;
}

実行と結果:

bash-4.2$ $ ./e
bash-4.2$ $ id
uid=99(nobody) gid=99(nobody) euid=100

参考文献

• https://0xdf.gitlab.io/2022/05/31/setuid-rabbithole.html#testing-on-jail

モバイルセキュリティの専門知識を深めるために、8kSecアカデミーで学びましょう。自己ペースのコースを通じてiOSとAndroidのセキュリティをマスターし、認定を取得しましょう：

On-demand Mobile Security Training | 8kSec Academy8kSec Academy

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE)

HackTricksをサポートする

• サブスクリプションプランを確認してください！

• **💬 DiscordグループまたはTelegramグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。

• HackTricksおよびHackTricks CloudのGitHubリポジトリにPRを提出してハッキングトリックを共有してください。