ssh-keysign-pwn

> 编程语言

开源

通过 ptrace_may_access mm-NULL 绕过 + pidfd_getfd 窃取 SSH 主机的私有密钥和 /etc/shadow。31e62c2ebbfd 之前的内核。

755 stars0 点赞0 次浏览

访问官网 GitHub

工具介绍

通过 ptrace_may_access mm-NULL 绕过 + pidfd_getfd 窃取 SSH 主机的私有密钥和 /etc/shadow。31e62c2ebbfd 之前的内核。

ssh-keysign-pwn

"落入活着的神手中是可怕的事。" — 希伯来书 10:31 以无权限用户的身份读取 root 所有的文件。31e62c2ebbfd 之前的内核（2026-05-14 稳定版本中的所有内容）。

这个错误

__ptrace_may_access() 在 task->mm == NULL 时会跳过可储存检查。do_exit() 在 exit_files() 之前运行 exit_mm() - 没有 mm, 文件描述符仍然存在。pidfd_getfd(2) 在调用者的 uid 与目标相匹配的窗口中成功。由 Qualys 报告,由 Linus 于 2026-05-14 修复。Jann Horn 在 2020 年 10 月标记了 FD-theft 形状。六年过去了。

目标

sshkeysign_pwn — 读取 /etc/ssh/ssh_host_{ecdsa,ed25519,rsa}_key。ssh-keysign.c 打开它们（模式为 0600），然后在 permanently_set_uid() 之前，如果 EnableSSHKeysign=no，则仍然保持打开状态。自 2002 年以来，该代码块保持不变。

vuln_target.c 打开 /etc/shadow 后退出。exploit_vuln_target.c 在活着时显示 EPERM，并在发出 SIGKILL 后被杀死。