Root со звездочкой. Разбираем принципы атак cron wildcard

Wildcard-ата­ки через cron исполь­зуют гло­баль­ные шаб­лоны в зап­ланиро­ван­ных задачах Unix/Linux. Что­бы не перечис­лять кон­крет­ные фай­лы в пап­ке, админ может исполь­зовать *, [] или ?. Звез­дочка * обоз­нача­ет любое сочета­ние сим­волов. Клас­сичес­кий при­мер уяз­вимой записи в cron:

Обо­лоч­ка перей­дет в дирек­торию /var/www/html и выпол­нит архи­виро­вание всех вло­жен­ных фай­лов и папок. В архив попадет все, что есть в пап­ке и к чему есть дос­туп у поль­зовате­ля, соз­давше­го задачу.

Час­то, что­бы избе­жать проб­лем с пра­вами, скрип­ты бэкапов запус­кают от име­ни поль­зовате­ля с высоки­ми при­виле­гиями, вплоть до root. Неопыт­ные адми­ны не видят в этом проб­лемы, потому что коман­да кажет­ся безопас­ной.

Бо­лее тон­кую нас­трой­ку поз­воля­ет выпол­нить знак воп­роса ?. Воп­роситель­ный знак — это один любой сим­вол. Нап­ример, под шаб­лон ?.txt под­ходят тек­сто­вые фай­лы, наз­вание которых сос­тоит толь­ко из одно­го сим­вола.

Ес­ли нуж­но жес­тче огра­ничить рам­ки, мож­но исполь­зовать квад­ратные скоб­ки []. Внут­ри ско­бок ука­зыва­ем диапа­зон: под шаб­лон [0-9].txt под­ходят име­на фай­лов, сос­тоящие из одной циф­ры: 0.txt, 7.txt и так далее. Чем стро­же рам­ки, тем слож­нее про­вес­ти ата­ку.

Проблемы glob

В ата­ке роль cron сво­дит­ся к запус­ку от име­ни поль­зовате­ля с повышен­ными при­виле­гиями. Нап­ример, при соз­дании бэкапа может пот­ребовать­ся архи­виро­вать фай­лы, к которым поль­зователь www-data не име­ет дос­тупа.

Ос­новную работу выпол­няет glob — один из эле­мен­тов обо­лоч­ки Linux.

Пе­ред выпол­нени­ем сис­темной коман­ды с шаб­лоном, нап­ример *, shell переда­ет работу glob. Glob ска­ниру­ет дирек­торию и воз­вра­щает готовый набор фай­лов.