Linux Privilege Escalation
Informações do Sistema
Informações do SO
Vamos começar adquirindo conhecimento sobre o SO em execução.
Caminho
Se você tiver permissões de escrita em qualquer pasta dentro da variável PATH
, você pode ser capaz de sequestrar algumas bibliotecas ou binários:
Informações do Ambiente
Informações interessantes, senhas ou chaves de API nas variáveis de ambiente?
Exploits do Kernel
Verifique a versão do kernel e se existe algum exploit que possa ser usado para escalar privilégios
Pode encontrar uma boa lista de kernels vulneráveis e alguns exploits já compilados aqui: https://github.com/lucyoa/kernel-exploits e exploitdb sploits. Outros sites onde pode encontrar alguns exploits compilados: https://github.com/bwbwbwbw/linux-exploit-binaries, https://github.com/Kabot/Unix-Privilege-Escalation-Exploits-Pack
Para extrair todas as versões de kernel vulneráveis a partir desse site, pode fazer:
As ferramentas que podem ajudar a procurar por exploits de kernel são:
linux-exploit-suggester.sh linux-exploit-suggester2.pl linuxprivchecker.py (execute NO alvo, verifica apenas exploits para kernel 2.x)
Sempre pesquise a versão do kernel no Google, talvez sua versão do kernel esteja mencionada em algum exploit de kernel e assim você terá certeza de que esse exploit é válido.
CVE-2016-5195 (DirtyCow)
Escalação de Privilégios no Linux - Kernel Linux <= 3.19.0-73.8
Versão do Sudo
Com base nas versões vulneráveis do sudo que aparecem em:
Você pode verificar se a versão do sudo é vulnerável usando este comando grep.
sudo < v1.28
De @sickrov
Falha na verificação da assinatura Dmesg
Verifique a caixa smasher2 do HTB para um exemplo de como essa vulnerabilidade poderia ser explorada
Mais enumeração do sistema
Enumerar possíveis defesas
AppArmor
Grsecurity
Grsecurity
PaX
Execshield
Execshield é uma técnica de proteção de memória que visa prevenir a execução de código em áreas de memória marcadas como somente leitura.
SElinux
ASLR
ASLR (Address Space Layout Randomization) é uma técnica de segurança que randomiza a posição de carga de processos no espaço de endereçamento da memória, dificultando prever endereços de memória específicos para explorar vulnerabilidades.
Fuga do Docker
Se você estiver dentro de um contêiner do Docker, pode tentar escapar dele:
Docker SecurityDrives
Verifique o que está montado e desmontado, onde e por quê. Se algo estiver desmontado, você pode tentar montá-lo e verificar informações privadas.
Software útil
Enumerar binários úteis
Também, verifique se qualquer compilador está instalado. Isso é útil se você precisar usar algum exploit de kernel, pois é recomendado compilá-lo na máquina onde você pretende usá-lo (ou em uma similar)
Software Vulnerável Instalado
Verifique a versão dos pacotes e serviços instalados. Talvez haja alguma versão antiga do Nagios (por exemplo) que possa ser explorada para escalonamento de privilégios... É recomendado verificar manualmente a versão do software instalado mais suspeito.
Se você tem acesso SSH à máquina, também pode usar o openVAS para verificar se há software desatualizado e vulnerável instalado na máquina.
Obsere que esses comandos mostrarão muitas informações que serão em sua maioria inúteis, portanto é recomendado o uso de aplicativos como o OpenVAS ou similares que verificarão se alguma versão de software instalada é vulnerável a exploits conhecidos
Processos
Dê uma olhada em quais processos estão sendo executados e verifique se algum processo possui mais privilégios do que deveria (talvez um tomcat sendo executado por root?)
Sempre verifique se há depuradores electron/cef/chromium em execução, você pode abusar deles para escalar privilégios. O Linpeas detecta esses depuradores verificando o parâmetro --inspect
na linha de comando do processo.
Também verifique seus privilégios sobre os binários dos processos, talvez você consiga sobrescrever algo.
Monitoramento de Processos
Você pode usar ferramentas como pspy para monitorar processos. Isso pode ser muito útil para identificar processos vulneráveis sendo executados com frequência ou quando um conjunto de requisitos é atendido.
Memória do Processo
Alguns serviços de um servidor salvam credenciais em texto claro na memória. Normalmente você precisará de privilégios de root para ler a memória de processos pertencentes a outros usuários, portanto isso geralmente é mais útil quando você já é root e deseja descobrir mais credenciais. No entanto, lembre-se de que como usuário regular você pode ler a memória dos processos que você possui.
Observe que hoje em dia a maioria das máquinas não permite ptrace por padrão, o que significa que você não pode despejar outros processos que pertencem ao seu usuário não privilegiado.
O arquivo /proc/sys/kernel/yama/ptrace_scope controla a acessibilidade do ptrace:
kernel.yama.ptrace_scope = 0: todos os processos podem ser depurados, desde que tenham o mesmo uid. Esta é a forma clássica de como o ptrace funcionava.
kernel.yama.ptrace_scope = 1: apenas um processo pai pode ser depurado.
kernel.yama.ptrace_scope = 2: Apenas o administrador pode usar o ptrace, pois requer a capacidade CAP_SYS_PTRACE.
kernel.yama.ptrace_scope = 3: Nenhum processo pode ser rastreado com ptrace. Uma reinicialização é necessária para habilitar o rastreamento novamente.
GDB
Se você tiver acesso à memória de um serviço FTP (por exemplo), você poderia obter o Heap e procurar por suas credenciais.
Script do GDB
/proc/$pid/maps & /proc/$pid/mem
Para um determinado ID de processo, o arquivo maps mostra como a memória está mapeada dentro do espaço de endereço virtual desse processo; ele também mostra as permissões de cada região mapeada. O arquivo pseudo mem expõe a própria memória dos processos. A partir do arquivo maps, sabemos quais regiões de memória são legíveis e seus deslocamentos. Usamos essas informações para procurar no arquivo mem e despejar todas as regiões legíveis em um arquivo.
/dev/mem
/dev/mem
fornece acesso à memória física do sistema, não à memória virtual. O espaço de endereço virtual do kernel pode ser acessado usando /dev/kmem.
Normalmente, /dev/mem
só é legível pelo usuário root e pelo grupo kmem.
ProcDump para Linux
ProcDump é uma reimaginação para Linux da clássica ferramenta ProcDump da suíte de ferramentas Sysinternals para Windows. Obtenha em https://github.com/Sysinternals/ProcDump-for-Linux
Ferramentas
Para fazer dump da memória de um processo, você pode usar:
https://github.com/hajzer/bash-memory-dump (root) - _Você pode remover manualmente os requisitos de root e fazer dump do processo de propriedade sua
Script A.5 de https://www.delaat.net/rp/2016-2017/p97/report.pdf (root é necessário)
Credenciais da Memória do Processo
Exemplo Manual
Se você descobrir que o processo do autenticador está em execução:
Você pode despejar o processo (consulte as seções anteriores para encontrar diferentes maneiras de despejar a memória de um processo) e procurar por credenciais dentro da memória:
mimipenguin
A ferramenta https://github.com/huntergregal/mimipenguin irá roubar credenciais em texto claro da memória e de alguns arquivos conhecidos. Requer privilégios de root para funcionar corretamente.
Recurso | Nome do Processo |
---|---|
Senha do GDM (Kali Desktop, Debian Desktop) | gdm-password |
Gnome Keyring (Ubuntu Desktop, ArchLinux Desktop) | gnome-keyring-daemon |
LightDM (Ubuntu Desktop) | lightdm |
VSFTPd (Conexões FTP Ativas) | vsftpd |
Apache2 (Sessões de Autenticação Básica HTTP Ativas) | apache2 |
OpenSSH (Sessões SSH Ativas - Uso de Sudo) | sshd: |
Search Regexes/truffleproc
Tarefas agendadas/Cron jobs
Verifique se alguma tarefa agendada está vulnerável. Talvez você possa aproveitar um script sendo executado pelo root (vulnerabilidade de curinga? pode modificar arquivos que o root usa? usar links simbólicos? criar arquivos específicos no diretório que o root usa?).
Caminho do Cron
Por exemplo, dentro do /etc/crontab você pode encontrar o PATH: PATH=/home/user:/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
(Observe como o usuário "user" tem privilégios de escrita sobre /home/user)
Se dentro deste crontab o usuário root tentar executar algum comando ou script sem definir o caminho. Por exemplo: * * * * root overwrite.sh Então, você pode obter um shell root usando:
Cron usando um script com um caractere curinga (Injeção de Curinga)
Se um script é executado pelo root e possui um "*" dentro de um comando, você pode explorar isso para fazer coisas inesperadas (como escalonamento de privilégios). Exemplo:
Se o caractere curinga é precedido de um caminho como /algum/caminho/* , não é vulnerável (mesmo ./* não é).
Leia a seguinte página para mais truques de exploração de caracteres curinga:
Wildcards Spare tricksSobrescrita de script Cron e symlink
Se você puder modificar um script cron executado pelo root, você pode obter um shell muito facilmente:
Se o script executado pelo root usar um diretório onde você tem acesso total, talvez seja útil excluir essa pasta e criar um link simbólico para outra servindo um script controlado por você.
Trabalhos cron frequentes
Você pode monitorar os processos para procurar processos que estão sendo executados a cada 1, 2 ou 5 minutos. Talvez você possa se aproveitar disso e escalar privilégios.
Por exemplo, para monitorar a cada 0,1s durante 1 minuto, ordenar por comandos menos executados e excluir os comandos que foram mais executados, você pode fazer:
Você também pode usar pspy (isso irá monitorar e listar todos os processos que são iniciados).
Trabalhos cron invisíveis
É possível criar um trabalho cron colocando um retorno de carro após um comentário (sem caractere de nova linha), e o trabalho cron irá funcionar. Exemplo (observe o caractere de retorno de carro):
Serviços
Arquivos .service graváveis
Verifique se você pode escrever em algum arquivo .service
, se puder, você poderá modificá-lo para que ele execute sua backdoor quando o serviço for iniciado, reiniciado ou parado (talvez seja necessário aguardar até que a máquina seja reiniciada).
Por exemplo, crie sua backdoor dentro do arquivo .service com ExecStart=/tmp/script.sh
Binários de serviço graváveis
Lembre-se de que se você tiver permissões de escrita sobre binários executados por serviços, você pode alterá-los para backdoors, para que quando os serviços forem reexecutados, as backdoors também sejam executadas.
PATH do systemd - Caminhos Relativos
Você pode ver o PATH usado pelo systemd com:
Se você descobrir que pode escrever em qualquer uma das pastas do caminho, talvez consiga aumentar os privilégios. Você precisa procurar por caminhos relativos sendo usados em arquivos de configuração de serviços como:
Em seguida, crie um executável com o mesmo nome que o caminho relativo do binário dentro da pasta PATH do systemd em que você pode escrever e, quando o serviço for solicitado a executar a ação vulnerável (Start, Stop, Reload), sua backdoor será executada (usuários não privilegiados geralmente não podem iniciar/parar serviços, mas verifique se você pode usar sudo -l
).
Saiba mais sobre serviços com man systemd.service
.
Temporizadores
Temporizadores são arquivos de unidade systemd cujo nome termina em **.timer**
que controlam arquivos ou eventos **.service**
. Temporizadores podem ser usados como uma alternativa ao cron, pois possuem suporte integrado para eventos de tempo de calendário e eventos de tempo monotônico e podem ser executados de forma assíncrona.
Você pode enumerar todos os temporizadores com:
Timers graváveis
Se você pode modificar um timer, você pode fazer com que ele execute alguns existentes de systemd.unit (como um .service
ou um .target
)
Na documentação, você pode ler o que é a Unidade:
A unidade a ser ativada quando este temporizador expirar. O argumento é um nome de unidade, cujo sufixo não é ".timer". Se não for especificado, esse valor padrão é um serviço que tem o mesmo nome que a unidade do temporizador, exceto pelo sufixo. (Veja acima.) É recomendável que o nome da unidade ativada e o nome da unidade do temporizador sejam nomeados de forma idêntica, exceto pelo sufixo.
Portanto, para abusar dessa permissão, você precisaria:
Encontrar alguma unidade do systemd (como um
.service
) que esteja executando um binário gravávelEncontrar alguma unidade do systemd que esteja executando um caminho relativo e que você tenha privilégios de gravação sobre o PATH do systemd (para se passar por esse executável)
Saiba mais sobre temporizadores com man systemd.timer
.
Ativando o Temporizador
Para ativar um temporizador, você precisa de privilégios de root e executar:
Observe que o temporizador é ativado criando um link simbólico para ele em /etc/systemd/system/<WantedBy_section>.wants/<name>.timer
Sockets
Os Sockets de Domínio Unix (UDS) permitem a comunicação entre processos nos mesmos ou em diferentes computadores dentro de modelos cliente-servidor. Eles utilizam arquivos de descritores Unix padrão para comunicação entre computadores e são configurados por meio de arquivos .socket
.
Os Sockets podem ser configurados usando arquivos .socket
.
Saiba mais sobre sockets com man systemd.socket
. Dentro deste arquivo, vários parâmetros interessantes podem ser configurados:
ListenStream
,ListenDatagram
,ListenSequentialPacket
,ListenFIFO
,ListenSpecial
,ListenNetlink
,ListenMessageQueue
,ListenUSBFunction
: Essas opções são diferentes, mas um resumo é usado para indicar onde ele vai escutar o socket (o caminho do arquivo de socket AF_UNIX, o número de porta IPv4/6 para escutar, etc.)Accept
: Aceita um argumento booleano. Se for verdadeiro, uma instância de serviço é iniciada para cada conexão recebida e apenas o socket de conexão é passado para ela. Se for falso, todos os sockets de escuta em si são passados para a unidade de serviço iniciada, e apenas uma unidade de serviço é iniciada para todas as conexões. Esse valor é ignorado para sockets de datagrama e FIFOs, onde uma única unidade de serviço lida incondicionalmente com todo o tráfego de entrada. O padrão é falso. Por motivos de desempenho, é recomendado escrever novos daemons apenas de uma maneira adequada paraAccept=no
.ExecStartPre
,ExecStartPost
: Aceita uma ou mais linhas de comando, que são executadas antes ou depois dos sockets/FIFOs de escuta serem criados e vinculados, respectivamente. O primeiro token da linha de comando deve ser um nome de arquivo absoluto, seguido por argumentos para o processo.ExecStopPre
,ExecStopPost
: Comandos adicionais que são executados antes ou depois dos sockets/FIFOs de escuta serem fechados e removidos, respectivamente.Service
: Especifica o nome da unidade de serviço a ser ativada no tráfego de entrada. Essa configuração só é permitida para sockets com Accept=no. O padrão é o serviço que tem o mesmo nome que o socket (com o sufixo substituído). Na maioria dos casos, não deve ser necessário usar essa opção.
Arquivos .socket graváveis
Se você encontrar um arquivo .socket
gravável, você pode adicionar no início da seção [Socket]
algo como: ExecStartPre=/home/kali/sys/backdoor
e a porta dos fundos será executada antes que o socket seja criado. Portanto, você provavelmente precisará esperar até que a máquina seja reiniciada.
Obs: o sistema deve estar usando essa configuração de arquivo de socket, caso contrário, a porta dos fundos não será executada
Sockets graváveis
Se você identificar algum socket gravável (agora estamos falando sobre Sockets Unix e não sobre os arquivos de configuração .socket
), então você pode se comunicar com esse socket e talvez explorar uma vulnerabilidade.
Enumerar Sockets Unix
Conexão direta
Exemplo de exploração:
Socket Command InjectionSockets HTTP
Observe que pode haver alguns sockets ouvindo por requisições HTTP (Não estou falando sobre arquivos .socket, mas sim sobre arquivos que atuam como sockets Unix). Você pode verificar isso com:
Se o socket responder com uma solicitação HTTP, então você pode comunicar-se com ele e talvez explorar alguma vulnerabilidade.
Socket Docker Gravável
O socket do Docker, frequentemente encontrado em /var/run/docker.sock
, é um arquivo crítico que deve ser protegido. Por padrão, ele é gravável pelo usuário root
e membros do grupo docker
. Possuir acesso de escrita a este socket pode levar à escalada de privilégios. Aqui está uma explicação de como isso pode ser feito e métodos alternativos se o CLI do Docker não estiver disponível.
Escalada de Privilégios com o Docker CLI
Se você tiver acesso de escrita ao socket do Docker, você pode escalar privilégios usando os seguintes comandos:
Estes comandos permitem que você execute um contêiner com acesso de nível raiz ao sistema de arquivos do host.
Usando a API do Docker diretamente
Nos casos em que o Docker CLI não está disponível, o socket do Docker ainda pode ser manipulado usando a API do Docker e comandos curl
.
Listar Imagens do Docker: Obtenha a lista de imagens disponíveis.
Criar um Contêiner: Envie uma solicitação para criar um contêiner que monta o diretório raiz do sistema host.
Inicie o contêiner recém-criado:
Anexar ao Contêiner: Use
socat
para estabelecer uma conexão com o contêiner, permitindo a execução de comandos dentro dele.
Após configurar a conexão socat
, você pode executar comandos diretamente no contêiner com acesso de nível raiz ao sistema de arquivos do host.
Outros
Observe que se você tiver permissões de gravação sobre o socket do docker porque está dentro do grupo docker
você tem mais maneiras de elevar privilégios. Se a API do docker estiver ouvindo em uma porta você também pode ser capaz de comprometê-la.
Confira mais maneiras de escapar do docker ou abusar dele para elevar privilégios em:
Docker SecurityEscalação de privilégios do Containerd (ctr)
Se você descobrir que pode usar o comando ctr
, leia a seguinte página, pois você pode ser capaz de abusar dele para elevar privilégios:
Escalação de privilégios do RunC
Se você descobrir que pode usar o comando runc
, leia a seguinte página, pois você pode ser capaz de abusar dele para elevar privilégios:
D-Bus
D-Bus é um sofisticado sistema de Comunicação entre Processos (IPC) que permite que aplicativos interajam e compartilhem dados de forma eficiente. Projetado com o sistema Linux moderno em mente, ele oferece um framework robusto para diferentes formas de comunicação de aplicativos.
O sistema é versátil, suportando IPC básico que aprimora a troca de dados entre processos, lembrando sockets de domínio UNIX aprimorados. Além disso, ele auxilia na transmissão de eventos ou sinais, promovendo a integração perfeita entre os componentes do sistema. Por exemplo, um sinal de um daemon Bluetooth sobre uma chamada recebida pode fazer com que um player de música seja silenciado, aprimorando a experiência do usuário. Além disso, o D-Bus suporta um sistema de objetos remotos, simplificando solicitações de serviço e invocações de métodos entre aplicativos, simplificando processos que tradicionalmente eram complexos.
O D-Bus opera em um modelo de permitir/negar, gerenciando permissões de mensagem (chamadas de método, emissões de sinal, etc.) com base no efeito cumulativo das regras de política correspondentes. Essas políticas especificam interações com o barramento, potencialmente permitindo a escalada de privilégios por meio da exploração dessas permissões.
Um exemplo de tal política em /etc/dbus-1/system.d/wpa_supplicant.conf
é fornecido, detalhando permissões para o usuário root possuir, enviar e receber mensagens de fi.w1.wpa_supplicant1
.
Políticas sem um usuário ou grupo especificado se aplicam universalmente, enquanto políticas de contexto "padrão" se aplicam a todos que não são abrangidos por outras políticas específicas.
Aprenda como enumerar e explorar uma comunicação D-Bus aqui:
D-Bus Enumeration & Command Injection Privilege EscalationRede
É sempre interessante enumerar a rede e descobrir a posição da máquina.
Enumeração genérica
Portas abertas
Sempre verifique os serviços de rede em execução na máquina com os quais você não conseguiu interagir antes de acessá-la:
Sniffing
Verifique se você consegue farejar o tráfego. Se conseguir, você poderá ser capaz de obter algumas credenciais.
Utilizadores
Enumeração Genérica
Verifique quem você é, quais privilégios você possui, quais utilizadores estão nos sistemas, quais podem fazer login e quais têm privilégios de root:
Big UID
Algumas versões do Linux foram afetadas por um bug que permite que usuários com UID > INT_MAX escalarem privilégios. Mais informações: aqui, aqui e aqui.
Explorá-lo usando: systemd-run -t /bin/bash
Grupos
Verifique se você é um membro de algum grupo que poderia conceder a você privilégios de root:
Interesting Groups - Linux PrivescÁrea de transferência
Verifique se há algo interessante localizado dentro da área de transferência (se possível)