Race Condition: File System Access

在檢查檔案屬性和使用檔案的期間內，能夠被用來發動擴大權限的攻擊。

File access race condition (也稱為 time-of-check)、time-of-use (TOCTOU) race conditions，在以下情況中出現：

1. 程式檢查檔案特性時，根據名稱來參照檔案。

2.程式稍後會使用相同的檔案名稱執行檔案系統作業，並假設先前檢查的屬性並未變更。
範例 1：以下程式碼來自一個安裝了 setuid root 的程式。程式代表無權限使用者執行了特定的檔案操作，並使用存取檢查來確保它不使用其根權限執行目前使用者不應該執行的操作。程式使用 access() 系統呼叫來檢查在程式開啟檔案和執行必要操作之前，執行程式的使用者是否具有權限去存取這些指定的檔案。

  if (!access(file,W_OK)) {
    f = fopen(file,"w+");
    operate(f);
    ...
  }
  else {
    fprintf(stderr,"Unable to open file %s.\n",file);
  }

access() 呼叫的運作方式在意料之中，而且，如果執行程式的使用者具有必要的權限來編輯檔案，那麼就會回傳 0，其他情況則會回傳-1。無論怎樣，因為 access() 和 fopen() 都是對檔案名稱進行操作，而不是對檔案控制碼進行操作，所以當 file 變數傳送到 fopen() 的時候，就不能保證這個變數仍然能夠像傳送到 access() 的時候那樣參照磁碟上相同的檔案。如果攻擊者在 access() 呼叫之後，用指向不同檔案的一個象徵連結來取代 file，程式就會使用它的根權限對檔進行操作，即使這個檔案攻擊者在其他情況下是無法篡改的。藉由欺騙程式去執行其他情況下不被允許的操作，攻擊者就能取得權限的提高。

這種形式的弱點具有 root 權限，因而沒有受到程式的限制。如果應用程式有能力執行攻擊者在其他情況下不被允許的任何操作，那麼這個程式就是一個可能的攻擊目標。

導致這種攻擊的弱點的間隙是在這段時間內，檔案特性經過測試到檔案被使用為止。即使檔案的使用緊接在測試之後，現代的作業系統也無法確認在程式佔用 CPU 前所執行的程式碼數量。攻擊者有多種技術來延長機會時間的長度，以便更容易地發動攻擊。然而，即使機會時間很短，攻擊企圖也可能一而再地重複，直到成功。

範例 2：以下程式碼會建立檔案，然後變更該檔案的所有者。

    fd = creat(FILE, 0644);  /* Create file */
    if (fd == -1)
        return;
    if (chown(FILE, UID, -1) < 0) {  /* Change file owner */
      ...
    }

此程式碼假設對 chown() 呼叫所操作的檔案與對 creat() 的呼叫所建立的檔案相同，但實際上未必如此。由於 chown() 是針對檔案名稱 (而非檔案控制碼) 進行操作，因此攻擊者可能會使用並非由攻擊者所擁有的檔案連結來取代檔案。隨後，對 chown() 的呼叫會為攻擊者提供所連結檔案的擁有權。