黑客利用文本編輯器提權

一些文本編輯器允許用戶運行第三方代碼和安裝應用擴展。雖然這種操作可以帶來功能上的便利，卻也引入了安全隱患。

專精數據泄露與網路攻擊模擬的SafeBreach公司稱，多款文本編輯器可被用於提權攻擊，且其開發者尚無濫用防止計劃。SafeBreach研究員道爾·阿祖利分析了Subline、Vim、Emacs、Gedit、pico和nano文本編輯器，發現僅pico和nano編輯器因只提供有限的擴展而不容易被濫用。

文本編輯器被濫用的問題之一，是用戶，尤其是Linux伺服器用戶，經常要以較高許可權執行這些文本編輯器。如果攻擊者可在目標文本編輯器中植入惡意擴展，他們的惡意代碼便可在編輯器啟動或執行特定操作時以高許可權啟動。

攻擊要想成功，攻擊者需先通過網路釣魚、社會工程等方法劫持用戶普通許可權的合法用戶賬戶。惡意內部人情形中，如果他們被系統管理員限制了對某些文件和指令的許可權，那麼SafeBreach發現的文本編輯器提權漏洞就對他們以高許可權執行代碼相當有幫助了。

針對不同的目標編輯器，攻擊者需創建特別構造的腳本或包文件，並將這些文件放到特定的插件目錄下。某些情況下黑客可能需創建額外的文件並啟用擴展功能，但只要擁有了普通許可權賬戶，這些都不是問題。

比如說，只需在「init.el」文件中添加一行代碼，攻擊者就可讓自己的代碼隨Emacs啟動。而且，編輯該初始化文件無需root許可權。2月13日發布的一份報告中，SafeBreach詳細描述了通過上述被測編輯器提權的方法。

雖然目前尚無濫用文本編輯器提權的惡意攻擊報道，但涉及擴展功能濫用的事件卻不是沒有耳聞。舉個例子，通過擴展為多款流行編輯器提供Python代碼增強與聯想提示的Kite，就在去年因往用戶編程App中塞推薦鏈接而飽受批評。

還有幾起事件與npm包有關，這些包可造成惡意代碼載入並致應用程序崩潰。阿祖利介紹了可用於在類Unix系統上獲取root許可權的幾種後漏洞利用技術。

「

配置糟糕的時鐘守護作業(Cron jobs)就是類Unix系統中可被濫用來獲取root許可權的天然埠。與我們呈現的技術相類似的方法中，攻擊者會在時鐘守護作業里尋找可寫程序，將之修改為符合自身需求的程序。然後這些被修改過的程序就會被操作系統按守護作業的設置以root或其他用戶許可權執行了。

另一個例子涉及文件許可權利用，比如特殊的SUID可執行文件。SUID是類Unix系統中指定某些可執行文件以特定用戶（文件擁有者）許可權執行的一個功能。只要找到擁有者是root又設置了SUID的文件，攻擊者就可以獲得特權執行。

有時候第三方插件的開發者會在插件流行起來後更新插件，但是更新中混進了惡意代碼（要麼是故意的，要麼是無意的，後者可能是插件被黑，代碼庫遭攻擊者染指的結果）。插件用戶下載了更新就會在不知不覺中執行了被惡意修改過的代碼。

SafeBreach分析過的文本編輯器的開發人員表示，他們沒有做出修改以防止此類濫用的計劃。Vim開發團隊承認，他們確實可以採取措施，但防禦此類攻擊的責任是在用戶身上。

Emacs開發人員則認為，此類提權攻擊可利用很多App，他們單方面放出補丁於事無補，於是不打算對Emacs做任何改動。

Gedit尚未證實SafeBreach的分析結果，Sublime則是在承認了SafeBreach的漏洞報告後還未提供任何更新。

SafeBreach報告連接地址：

https://go.safebreach.com/rs/535-IXZ-934/images/Abusing_Text_Editors.pdf

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！