Trên Linux, bạn có thể ghi đè giá trị của các chuỗi môi trường trên ngăn xếp.
Vì vậy, bạn có thể ẩn mục nhập bằng cách ghi đè nó bằng số không hoặc bất cứ thứ gì khác:
#include <sys/types.h>
#include <unistd.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
int main(int argc, char* argv[], char* envp[]) {
char cmd[100];
while (*envp) {
if (strncmp(*envp, "k=", 2) == 0)
memset(*envp, 0, strlen(*envp));
envp++;
}
sprintf(cmd, "cat /proc/%u/environ", getpid());
system(cmd);
return 0;
}
Chạy như:
$ env -i a=foo k=v b=bar ./wipe-env | hd
00000000 61 3d 66 6f 6f 00 00 00 00 00 62 3d 62 61 72 00 |a=foo.....b=bar.|
00000010
các k=vđã được ghi đè bằng \0\0\0.
Lưu ý rằng setenv("k", "", 1)để ghi đè giá trị sẽ không hoạt động như trong trường hợp đó, một "k="chuỗi mới được phân bổ.
Nếu bạn không sửa đổi biến kmôi trường bằng setenv()/ putenv(), thì bạn cũng có thể làm một cái gì đó như thế này để lấy địa chỉ của k=vchuỗi trên ngăn xếp (tốt, của một trong số chúng):
#include <sys/types.h>
#include <unistd.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
int main(int argc, char* argv[]) {
char cmd[100];
char *e = getenv("k");
if (e) {
e -= strlen("k=");
memset(e, 0, strlen(e));
}
sprintf(cmd, "cat /proc/%u/environ", getpid());
system(cmd);
return 0;
}
Tuy nhiên, lưu ý rằng nó chỉ xóa một trong các k=vmục nhận được trong môi trường. Thông thường, chỉ có một, nhưng không có gì ngăn cản bất cứ ai vượt qua cả hai k=v1và k=v2(hoặc k=vhai lần) trong danh sách env được chuyển đến execve(). Đó là nguyên nhân của các lỗ hổng bảo mật trong quá khứ như CVE-2016-2381 . Nó thực sự có thể xảy ra với bashtrước shellshock khi xuất cả biến và hàm cùng tên.
Trong mọi trường hợp, sẽ luôn có một cửa sổ nhỏ trong đó chuỗi var env chưa bị ghi đè, vì vậy bạn có thể muốn tìm một cách khác để truyền thông tin bí mật cho lệnh (ví dụ như đường ống) nếu để lộ thông qua /proc/pid/environlà một mối quan tâm
Cũng lưu ý rằng trái với /proc/pid/cmdline, /proc/pid/environmentchỉ có thể truy cập được bởi các quy trình có cùng euid hoặc root (hoặc chỉ root nếu euid và ruid của quá trình không giống nhau).
Bạn có thể ẩn giá trị đó với chúng /proc/pid/environ, nhưng chúng vẫn có thể lấy bất kỳ bản sao nào khác mà bạn đã tạo chuỗi trong bộ nhớ, ví dụ bằng cách đính kèm trình gỡ lỗi vào nó.
Xem https://www.kernel.org/doc/Documentation/security/Yama.txt để biết cách ngăn chặn ít nhất người dùng không phải root thực hiện điều đó.