NFS no_root_squash/no_all_squash misconfiguration PE
阅读 _ /etc/exports _ 文件,如果你发现某个目录被配置为 no_root_squash,那么你可以 作为客户端访问 该目录,并 像本地机器的 root 一样在该目录中写入。
no_root_squash:此选项基本上赋予客户端的 root 用户以 root 身份访问 NFS 服务器上的文件的权限。这可能导致严重的安全隐患。
no_all_squash:这与 no_root_squash 选项类似,但适用于 非 root 用户。想象一下,你以 nobody 用户的身份获得一个 shell;检查 /etc/exports 文件;存在 no_all_squash 选项;检查 /etc/passwd 文件;模拟一个非 root 用户;以该用户身份创建一个 suid 文件(通过使用 nfs 挂载)。以 nobody 用户身份执行该 suid 文件并成为不同的用户。
权限提升
远程利用
如果你发现了这个漏洞,你可以利用它:
在客户端机器上挂载该目录,并 以 root 身份将 /bin/bash 二进制文件复制到挂载文件夹中并赋予其 SUID 权限,然后从受害者机器执行该 bash 二进制文件。
在客户端机器上挂载该目录,并以root身份复制我们编译的有效载荷到挂载文件夹中,该有效载荷将滥用SUID权限,赋予其SUID权限,并从受害者机器执行该二进制文件(您可以在这里找到一些C SUID有效载荷)。
Local Exploit
注意,如果您可以从您的机器创建一个到受害者机器的隧道,您仍然可以使用远程版本来利用这个特权提升,隧道所需的端口。
以下技巧适用于文件/etc/exports
指示一个IP的情况。在这种情况下,您将无法使用任何情况下的远程利用,您需要利用这个技巧。
另一个使利用有效的必要条件是**/etc/export
中的导出** 必须使用insecure
标志。
--我不确定如果/etc/export
指示一个IP地址,这个技巧是否有效--
Basic Information
该场景涉及利用本地机器上挂载的NFS共享,利用NFSv3规范中的一个缺陷,该缺陷允许客户端指定其uid/gid,从而可能实现未经授权的访问。利用涉及使用libnfs,这是一个允许伪造NFS RPC调用的库。
Compiling the Library
库的编译步骤可能需要根据内核版本进行调整。在这种特定情况下,fallocate系统调用被注释掉。编译过程涉及以下命令:
进行利用
该利用涉及创建一个简单的 C 程序 (pwn.c
),该程序提升权限到 root,然后执行一个 shell。程序被编译,生成的二进制文件 (a.out
) 被放置在具有 suid root 的共享上,使用 ld_nfs.so
在 RPC 调用中伪造 uid:
编译利用代码:
将利用放置在共享上并通过伪造 uid 修改其权限:
执行利用以获得 root 权限:
额外:NFShell 用于隐秘文件访问
一旦获得 root 访问权限,为了在不更改所有权的情况下与 NFS 共享进行交互(以避免留下痕迹),使用一个 Python 脚本 (nfsh.py)。该脚本调整 uid 以匹配被访问文件的 uid,从而允许与共享上的文件进行交互而不出现权限问题:
运行如下:
Last updated