Unix系統病毒概述

欺騙庫函數

　　我們可以愚弄那些比較傻的用戶.如果你利用LD_PRELOAD環境變量來捉弄他,你可以讓他執行你自己的代碼,你已經利用 LD_PRELOAD環境變量把標准的庫函數替換成了你自己的程序.挺有意思吧?LD_PRELOAD並不是linux系統特有的並且它一般用在一些應用程序(比如老版本的StarOffice需要運行在較新版本的Redhat系統上)必須用他們自己的(或者比較老的版本,或者修改過的)庫函數,因為在安裝的時候沒有滿足他們的需求.Quantum(Staog病毒的作者)在Unix病毒的郵件列表裡面提供了這些代碼,我做了修改,也是為了便於大家理解:

------------------------tryld.c------------------------------------
extern int __open(char *, int, int);
extern int execv(char *, char *[], char *envp[]);

int open(char *path, int flags,
int mode){
printf("open: %s\n", path);
return __open(path, flags, mode);
}

/* 注意這裡,原來它放棄了envp參數,這樣會...:(?!
呵呵,所以我修改了一下,影響不大:)*/
int execve(char *path, char *args[],
char *envp[]){
printf("execve: %s\n", path);
return execv(path, args, envp);
}
-------------------------------------------------------------------

------------------------main.c-------------------------------------
/*test only,by e4gle*/
#include
#include
#include
#include

main()
{
int fd;
execve("/bin/date","",NULL);
if(fd=open("/etc/inittab",O_RDONLY)!=-1)
{
fprintf(stdout,"open file succeed!\n");
}
else
fprintf(stderr,"open error!\n");
close(fd);
return 0;
}
-------------------------------------------------------------------
這段代碼獲取open和execv並且改變了它們的輸出,好,我們測試一下:

[e4gle@redhat62 elf]$ gcc -o main main.c 
[e4gle@redhat62 elf]$ ./main 
open file succeed! <--證明我們打開文件成功了,open調用正常工作 
[e4gle@redhat62 elf]$ ldd -v -r ./main 
libc.so.6 => /lib/libc.so.6 (0x4001c000) 
/lib/ld-linux.so.2 => /lib/ld-linux.so.2 (0x40000000) 

Version information: 
./main: 
libc.so.6 (GLIBC_2.0) => /lib/libc.so.6 
/lib/libc.so.6: 
ld-linux.so.2 (GLIBC_2.1.1) => /lib/ld-linux.so.2 
ld-linux.so.2 (GLIBC_2.1) => /lib/ld-linux.so.2 
ld-linux.so.2 (GLIBC_2.0) => /lib/ld-linux.so.2 
/*跟蹤一下庫函數的利用,都是glibc的標准庫函數,solaris裡面是sotruss,我個人認為sotruss 
比較好用:)*/ 
[e4gle@redhat62 elf]$ gcc -shared -o tryld tryld.c 
[e4gle@redhat62 elf]$ export LD_PRELOAD=./tryld <--用我們自己的lib 
[e4gle@redhat62 elf]$ ./main 
execve: /bin/date 
open: /etc/inittab 
open file succeed! 
/*注意!不一樣了吧?已經在用我們自己的open和execve了,呵呵:)*/

　　以上僅僅是個測試代碼並且沒有任何危害性,但是它足以說明我們利用欺騙函數庫來攻擊程序的原理.