mkdir()/chmod() TOCTOU 竞态条件：如何避免 Linux 系统中的安全漏洞

mkdir()/chmod() TOCTOU 竞态条件：Linux 下的深入分析和解决方案

在 Linux 环境下，当使用 mkdir() 函数创建目录，紧接着使用 chmod() 更改其权限时，可能会遇到一个危险的 TOCTOU（time-of-check-to-time-of-use，检查时间与使用时间之间）竞态条件。在这短暂的时间间隔内，恶意用户可以趁虚而入，执行恶意操作，例如替换新创建的目录或将其符号链接到其他文件，从而破坏应用程序的安全性。

问题根源

TOCTOU 竞态条件的本质在于，mkdir() 和 chmod() 两个函数调用之间存在一个时间间隔，期间文件系统处于不一致状态。在该间隔内，文件系统在用户空间和内核空间之间进行交互，可能会导致意外的结果。

例如，假设以下代码片段：

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/stat.h>

int main() {
    char *path = "/tmp/new-dir";

    // 创建目录
    if (mkdir(path, 0755) == -1) {
        perror("mkdir");
        return EXIT_FAILURE;
    }

    // 更改权限
    if (chmod(path, 0644) == -1) {
        perror("chmod");
        return EXIT_FAILURE;
    }

    return EXIT_SUCCESS;
}

在这段代码中，mkdir() 调用成功创建了 /tmp/new-dir 目录，但随后 chmod() 调用却将该目录的权限更改为 0644。然而，在 mkdir() 和 chmod() 之间可能存在一个时间间隔，在这段时间内：

• 恶意用户可以删除或重命名新创建的目录。
• 恶意用户可以创建具有相同名称的符号链接，指向另一个文件。

如果发生这种情况，chmod() 将更改符号链接的权限，而不是目标目录的权限，从而导致应用程序出现安全漏洞。

解决方案

为了解决 mkdir()/chmod() TOCTOU 竞态条件，有几种有效的方法：

1. 使用 open()/fchmod()

一种稳健的方法是使用 open() 函数创建目录，然后使用 fchmod() 函数更改其权限。fchmod() 操作在目录句柄上执行，因此避免了 TOCTOU 竞态条件。

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/stat.h>
#include <fcntl.h>

int main() {
    char *path = "/tmp/new-dir";

    // 创建目录
    int fd = open(path, O_CREAT | O_DIRECTORY | O_EXCL, 0755);
    if (fd == -1) {
        perror("open");
        return EXIT_FAILURE;
    }

    // 更改权限
    if (fchmod(fd, 0644) == -1) {
        perror("fchmod");
        close(fd);
        return EXIT_FAILURE;
    }

    close(fd);
    return EXIT_SUCCESS;
}

2. 使用 mkdir()/umask

另一种方法是使用 mkdir() 函数创建目录，并使用 umask 设置创建文件的默认权限。这确保了新创建的目录具有所需的权限，不受 umask 影响。

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/stat.h>

int main() {
    char *path = "/tmp/new-dir";
    mode_t old_umask;

    // 保存原有 umask
    old_umask = umask(0);

    // 创建目录
    if (mkdir(path, 0755) == -1) {
        perror("mkdir");
        umask(old_umask);
        return EXIT_FAILURE;
    }

    // 恢复 umask
    umask(old_umask);
    return EXIT_SUCCESS;
}

3. 使用 mkdir()/sticky bit

最后，可以使用 mkdir() 函数创建目录，并确保其父目录具有粘滞位（sticky bit）。这可以防止非目录所有者重命名或删除目录。

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <sys/stat.h>

int main() {
    char *path = "/tmp/new-dir";
    char *parent_dir = "/tmp";
    struct stat st;

    // 确保父目录具有粘滞位
    if (stat(parent_dir, &st) == -1) {
        perror("stat");
        return EXIT_FAILURE;
    }
    if (!(st.st_mode & S_ISVTX)) {
        if (chmod(parent_dir, st.st_mode | S_ISVTX) == -1) {
            perror("chmod");
            return EXIT_FAILURE;
        }
    }

    // 创建目录
    if (mkdir(path, 0755) == -1) {
        perror("mkdir");
        return EXIT_FAILURE;
    }

    return EXIT_SUCCESS;
}

总结

mkdir()/chmod() TOCTOU 竞态条件是一个严重的 Linux 系统漏洞，可能导致安全性和完整性问题。通过实施上述解决方案，可以有效避免这种竞态条件，确保应用程序的安全性。

常见问题解答

1. 什么是 TOCTOU 竞态条件？
   TOCTOU（time-of-check-to-time-of-use，检查时间与使用时间之间）竞态条件是一种安全漏洞，发生在对系统进行检查和实际使用之间存在时间间隔的情况下，在此期间，恶意用户可以操纵系统，导致意外行为。

2. mkdir()/chmod() TOCTOU 竞态条件是如何产生的？
   mkdir()/chmod() TOCTOU 竞态条件是由 mkdir() 和 chmod() 函数调用之间的时间间隔引起的。在此期间，恶意用户可以修改或删除新创建的目录，导致 chmod() 操作更改错误的目标权限。

3. 使用 open()/fchmod() 有什么好处？
   open()/fchmod() 方法通过在目录句柄上直接执行 fchmod() 操作来避免 TOCTOU 竞态条件。这意味着权限更改与目录创建同时进行，消除了恶意用户操作的时间窗口。

4. 使用 mkdir()/umask 有什么注意事项？
   使用 mkdir()/umask 方法时，请确保在调用 mkdir() 函数之前正确设置 umask。否则，新创建的目录可能具有不希望的权限。

5. 为什么设置目录的父目录的粘滞位很重要？
   设置目录的父目录的粘滞位可以防止非目录所有者重命名或删除目录，从而为 mkdir()/chmod() 操作提供额外的安全层。