sleepall

CVE-2024-28085(https://people.rit.edu/sjf5462/6831711781/wall_2_27_2024.txt) 취약점에 기반한 트로이 목마로, 아직 어디에서도 수정되지 않았습니다. 요점: bash는 이스케이프 코드를 지원하며 터미널에서 문자열의 형태를 제어할 수 있습니다. 트로이 목마는 프로세스를 모니터링하여 sudo 명령어의 PID를 찾고, 그 부모를 알아내어 루트를 죽이고 가짜 SUDO 문자열을 대체합니다.

터미널의 사용자가 sudo <...> 명령을 실행하면, 트로이 목마는 프로세스를 변조하여 비밀번호를 sudo가 아닌 터미널에 입력하도록 유도합니다. 이후 비밀번호는 서버로 전송됩니다.

이 코드는 테스트 및 학습 목적으로 작성되었으며, 작성자는 사용자의 이후 행동에 대해 책임을 지지 않습니다.

Build:

g++ -static sleepall.cpp -o sleepall
gcc server.c -o server

가짜 프롬프트 이미지:

터미널에서 실제로 일어나는 일의 이미지:

사용자 프로세스 제어 허용:

• arch
• alt 8 sp 10

금지:

• Centos 7

P.S.: 우후, 하지만 bash에서만 작동합니다 (zsh는 안 됨)