#privilege-escalation

홈 디렉토리에 쓸 권한이 없는데 root 는 그 안의 a.out 을 10초마다 실행한다. SUID 가 붙은 gcc 가 대신 파일을 써 주고, 배열 첨자가 만든 미정의 동작 때문에 gcc -O2 가 루프의 상한 검사를 통째로 지운다. 두 관문을 이어 붙여 /flag.txt 를 읽어냈다.

회원가입이 username 을 이스케이프 없이 f-string 으로 JSON 문자열에 끼워 넣는다. 따옴표를 닫고 role 키를 하나 더 넣으면 같은 객체에 role 이 두 번 들어가고, 파이썬 json 은 나중 값을 남긴다. 가입 한 번으로 관리자가 되고 /flag 가 열린다.

setgid 바이너리가 system("clear") 를 부른다. 절대경로가 아니니 PATH 를 앞에서부터 훑고, 내가 심어 둔 clear 가 문제 그룹 권한으로 돈다. 그런데 setgid 비트만으로는 이게 통하지 않는다. dash 가 시작하면서 빌려온 권한을 스스로 내려놓기 때문이다. 그 방어를 무력화하는 게 바로 앞줄의 setresgid 한 줄이었다.

dream 소유의 setuid 바이너리가 argv[1] 을 그대로 "cat %s" 에 끼워 system() 으로 넘긴다. 보통은 sh 가 실행 즉시 euid 를 ruid 로 되돌려 이런 주입이 무력해지는데, 이 문제는 system() 직전에 setreuid(geteuid(), geteuid()) 로 real uid 까지 올려 버려서 sh 가 떨어뜨릴 권한을 남기지 않는다. 같은 코드에서 그 한 줄만 뺀 대조군을 만들어 차이를 직접 찍었고, filename 버퍼가 10바이트라 전체 경로가 잘리는 것도 gdb 로 확인했다.