高权限进程被迫读低权限文件:安全圈经典「困惑代理人问题」科普

wavefnx · x · 2026-11-15

安全研究者 wavefnx 介绍一类他最喜欢的漏洞:高权限进程/系统被(如通过符号链接)诱导读取低权限文件,这类问题有专门名称——困惑代理人问题(Confused Deputy Problem)。

配图为 Wikipedia 词条:困惑代理人指一个程序被权限更低的程序欺骗而滥用自身权限,属于提权的一种。经典案例是分时系统上的编译器:用户让编译器把调试输出写到系统的计费文件 (SYSX)BILL,编译器凭自身写权限成功覆盖了用户无权访问的计费信息。基于能力的(capability-based)安全系统可消除这种隐式授权而防御此问题,访问控制列表则不能;seL4 等形式化验证系统可在内核层强制能力约束。