Race Condition: File System Access

可以利用检查文件属性和使用文件之间的时间窗口发起权限提升攻击。

在以下情况下，将发生文件访问争用情况（称为检查时间、使用时间 (TOCTOU) 争用情况）：

1.程序检查文件的属性，按名称引用文件。

2.程序稍后使用相同的文件名执行文件系统操作，并假定先前检查的属性没有改变。
示例：以下程序调用 CBL_CHECK_FILE_EXIST 例程在创建文件之前检查该文件是否存在，并执行所需的操作。

  CALL "CBL_CHECK_FILE_EXIST" USING
      filename
      file-details
      RETURNING status-code
  END-CALL

  IF status-code NOT = 0
      MOVE 3 to access-mode
      MOVE 0 to deny-mode
      MOVE 0 to device

      CALL "CBL_CREATE_FILE" USING
          filename
          access-mode
          deny-mode
          device
          file-handle
          RETURNING status-code
      END-CALL
  END-IF

对 CBL_CHECK_FILE_EXIST 的调用按预期正常运行并返回非零值，表明文件不存在。然而，由于 CBL_CHECK_FILE_EXIST 和 CBL_CREATE_FILE 均作用于文件名而非文件句柄，因此无法保证 filename 变量仍然引用传递到 CBL_CREATE_FILE（当该变量传递到 CBL_CHECK_FILE_EXIST 时其引用的文件）时磁盘上的同一文件。如果攻击者在调用 CBL_CHECK_FILE_EXIST 后创建 filename，则对 CBL_CREATE_FILE 的调用将会失败，致使程序相信文件为空，而事实上该文件包含攻击者控制的数据。

此类攻击的漏洞窗口是测试属性和使用文件之间的时间段。即使在检查后立即使用，现代操作系统也不能保证进程挂起 CPU 之前执行的代码量。攻击者有多种技术来延长机会窗口的长度，以便更容易地利用漏洞。然而，即使窗口很小，漏洞利用尝试也可以简单地重复一遍又一遍，直到成功。

此外，这种类型的漏洞可能适用于具有 root 权限的程序，该程序可代表非特权用户执行某些文件操作，并使用访问检查来确保它不会使用其 root 权限执行不应被当前用户访问的操作。通过欺骗程序执行原本不允许的操作，攻击者可能会获得提升的权限。