访问（）有什么问题？ [复制]

Question

可能重复：
access() Security Hole

我引用手册页访问（2）：

警告：使用 access() 检查用户是否有权，例如，在实际使用 open 打开文件之前打开文件>(2) 创建一个安全漏洞，因为用户可能会利用检查和打开文件之间的短时间间隔来操作它。 因此，应避免使用此系统调用。

这是什么意思，在什么情况下会引起关注？

Answer 1

这只是 Set-user-ID 和 set-group-ID 应用程序的安全问题。对于以用户自身身份运行的应用程序，没有任何威胁，因为无论如何，相关操作都会被操作系统拒绝。

考虑这种情况：您有一个通过 set-user-id 以 root 身份运行的 UNIX 程序。程序使用access检查另一个用户的文件权限，然后以root运行文件，但前提是权限检查成功。假设程序名为securerun，您按如下方式运行它：

securerun myfile

攻击者可以使用此算法使利用此安全漏洞的程序运行：

• 写一个用户有执行权限的文件xyz
• 启动两个线程，A 和 B
• 线程A 等待几毫秒，然后执行cp norunning xyz 将xyz 替换为攻击者想要运行但没有运行权限的文件
• 线程B 调用securerun xyz

如果攻击者幸运地把握了时机，您的securerun 将检查旧xyz 的执行权限，但它会运行新的xyz，即黑客所在的norunning 的副本不应该跑。由于检查和执行之间的时间窗口很短，如果攻击者在循环中多次尝试他的策略，那么他一定会在某个时候走运。

Answer 2

典型错误代码：

• 使用access 在以提升权限运行的程序中检查是否代表用户读取文件
• 此处差距不大
• 打开文件

在“短间隙”期间，用户可能能够操作文件系统，例如：

ln -f secret_file.txt non_secret_file.txt

然后open 将打开秘密文件进行读取，即使在检查完成时链接已到位，access 检查也会失败。

Answer 3

这是一个经典的"Time of check to time of use" 比赛条件。