Interesting Groups - Linux Privesc
Last updated
Last updated
Leer & oefen AWS Hacking:HackTricks Opleiding AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Opleiding GCP Red Team Expert (GRTE)
Soms, per standaard (of omdat sommige sagteware dit benodig) binne die /etc/sudoers lêer kan jy sommige van hierdie lyne vind:
Dit beteken dat enige gebruiker wat tot die groep sudo of admin behoort, enigiets as sudo kan uitvoer.
As dit die geval is, om root te word kan jy net uitvoer:
Vind alle suid binêre en kyk of daar die binêre Pkexec is:
As jy vind dat die binêre pkexec 'n SUID-binary is en jy behoort tot sudo of admin, kan jy waarskynlik binêre as sudo uitvoer met pkexec.
Dit is omdat dit tipies die groepe is binne die polkit-beleid. Hierdie beleid identifiseer basies watter groepe pkexec kan gebruik. Kontroleer dit met:
Daar sal jy vind watter groepe toegelaat is om pkexec uit te voer en per standaard verskyn die groepe sudo en admin in sommige linux distrubus.
Om root te word kan jy uitvoer:
As jy probeer om pkexec uit te voer en jy kry hierdie error:
Dit is nie omdat jy nie toestemmings het nie, maar omdat jy nie sonder 'n GUI gekoppel is nie. En daar is 'n oplossing vir hierdie probleem hier: https://github.com/NixOS/nixpkgs/issues/18012#issuecomment-335350903. Jy het 2 verskillende ssh-sessies nodig:
Soms, per standaard binne die /etc/sudoers lêer kan jy hierdie lyn vind:
Dit beteken dat enige gebruiker wat tot die groep wheel behoort, enigiets as sudo kan uitvoer.
As dit die geval is, om root te word kan jy net uitvoer:
Gebruikers van die groep shadow kan lees die /etc/shadow lêer:
So, lees die lêer en probeer om hashes te kraak.
staff: Laat gebruikers toe om plaaslike wysigings aan die stelsel (/usr/local) te maak sonder om root regte te benodig (let daarop dat uitvoerbare lêers in /usr/local/bin in die PATH veranderlike van enige gebruiker is, en hulle kan die uitvoerbare lêers in /bin en /usr/bin met dieselfde naam "oorheers"). Vergelyk met die groep "adm", wat meer verband hou met monitering/sekuriteit. [source]
In debian verspreidings, wys die $PATH veranderlike dat /usr/local/ as die hoogste prioriteit uitgevoer sal word, of jy 'n bevoorregte gebruiker is of nie.
As ons 'n paar programme in /usr/local kan oorneem, kan ons maklik root verkry.
Om die run-parts program oor te neem is 'n maklike manier om root te verkry, omdat die meeste programme 'n run-parts soos (crontab, wanneer ssh aanmeld) sal uitvoer.
of Wanneer 'n nuwe ssh sessie aanmeld.
Eksploiteer
Hierdie voorreg is byna gelyk aan worteltoegang aangesien jy toegang het tot al die data binne die masjien.
Files:/dev/sd[a-z][1-9]
Let daarop dat jy met debugfs ook lêers kan skryf. Byvoorbeeld, om /tmp/asd1.txt na /tmp/asd2.txt te kopieer, kan jy doen:
However, if you try to write files owned by root (like /etc/shadow or /etc/passwd) you will have a "Toegang geweier" error.
Using the command w you can find who is logged on the system and it will show an output like the following one:
Die tty1 beteken dat die gebruiker yossi fisies ingelog is op 'n terminal op die masjien.
Die video groep het toegang om die skermuitset te sien. Basies kan jy die skerms observeer. Om dit te doen, moet jy die huidige beeld op die skerm in rou data gryp en die resolusie wat die skerm gebruik, kry. Die skermdata kan gestoor word in /dev/fb0 en jy kan die resolusie van hierdie skerm op /sys/class/graphics/fb0/virtual_size vind.
Om die rauwe beeld te open, kan jy GIMP gebruik, kies die **screen.raw ** lêer en kies as lêertipe Raw image data:
Verander dan die Breedte en Hoogte na diegene wat op die skerm gebruik word en kyk na verskillende Beeldtipes (en kies die een wat die skerm beter vertoon):
Dit lyk of lede van die root groep standaard toegang kan hê om te wysig sommige diens konfigurasielêers of sommige biblioteek lêers of ander interessante dinge wat gebruik kan word om voorregte te verhoog...
Kontroleer watter lêers root lede kan wysig:
Jy kan die wortel lêersisteem van die gasheer masjien aan 'n instansie se volume monteer, sodat wanneer die instansie begin, dit onmiddellik 'n chroot in daardie volume laai. Dit gee jou effektief wortel op die masjien.
Finally, if you don't like any of the suggestions of before, or they aren't working for some reason (docker api firewall?) you could always try to run a privileged container and escape from it as explained here:
Docker SecurityIf you have write permissions over the docker socket read this post about how to escalate privileges abusing the docker socket.
Gewoonlik het lede van die groep adm toestemming om log lêers te lees wat geleë is in /var/log/.
Daarom, as jy 'n gebruiker binne hierdie groep gekompromitteer het, moet jy beslis 'n kyk na die logs neem.
Binne OpenBSD kan die auth groep gewoonlik in die vouers /etc/skey en /var/db/yubikey skryf as hulle gebruik word. Hierdie toestemmings kan misbruik word met die volgende eksploit om privileges na root te eskaleer: https://raw.githubusercontent.com/bcoles/local-exploits/master/CVE-2019-19520/openbsd-authroot
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
