NFS no_root_squash/no_all_squash misconfiguration PE
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
_ /etc/exports _ dosyasını okuyun, eğer no_root_squash olarak yapılandırılmış bir dizin bulursanız, o dizine istemci olarak erişebilir ve o dizin içinde yerel makinenin root'uymuş gibi yazabilirsiniz.
no_root_squash: Bu seçenek, istemcideki root kullanıcısına NFS sunucusundaki dosyalara root olarak erişim yetkisi verir. Bu da ciddi güvenlik sorunlarına yol açabilir.
no_all_squash: Bu, no_root_squash seçeneğine benzer, ancak root olmayan kullanıcılara uygulanır. Hayal edin, nobody kullanıcısı olarak bir shell'iniz var; /etc/exports dosyasını kontrol ettiniz; no_all_squash seçeneği mevcut; /etc/passwd dosyasını kontrol edin; root olmayan bir kullanıcıyı taklit edin; o kullanıcı olarak bir suid dosyası oluşturun (nfs kullanarak montaj yaparak). SUID'yi nobody kullanıcısı olarak çalıştırın ve farklı bir kullanıcıya dönüşün.
Privilege Escalation
Remote Exploit
Bu güvenlik açığını bulduysanız, bunu istismar edebilirsiniz:
O dizini bir istemci makinesinde montajlayarak, ve root olarak montajlı klasöre /bin/bash ikili dosyasını kopyalayarak ve ona SUID hakları vererek, o bash ikili dosyasını kurban makinesinden çalıştırarak.
O dizini bir istemci makinesine bağlamak ve root olarak bağlı klasöre SUID iznini kötüye kullanacak derlenmiş yükümüzü kopyalamak, ona SUID hakları vermek ve kurban makineden o ikili dosyayı çalıştırmak (burada bazı C SUID yüklerini bulabilirsiniz).
Yerel Sömürü
Not edin ki eğer makinenizden kurban makinesine bir tünel oluşturabiliyorsanız, bu ayrıcalık yükseltmesini istismar etmek için Uzaktan versiyonu kullanmaya devam edebilirsiniz.
Aşağıdaki hile, dosya /etc/exports
bir IP gösteriyorsa geçerlidir. Bu durumda uzaktan istismarı kullanamayacaksınız ve bu hileyi kötüye kullanmanız gerekecek.
İstismarın çalışması için bir diğer gerekli şart, /etc/export
içindeki ihracatın insecure
bayrağını kullanmasıdır.
--Eğer /etc/export
bir IP adresi gösteriyorsa bu hilenin çalışıp çalışmayacağından emin değilim--
Temel Bilgiler
Senaryo, yerel bir makinede monte edilmiş bir NFS paylaşımını istismar etmeyi içeriyor ve bu, istemcinin uid/gid'ini belirtmesine izin veren NFSv3 spesifikasyonundaki bir hatayı kullanarak yetkisiz erişim sağlama potansiyeli sunuyor. İstismar, NFS RPC çağrılarını sahtelemek için bir kütüphane olan libnfs kullanmayı içeriyor.
Kütüphaneyi Derleme
Kütüphane derleme adımları, çekirdek sürümüne bağlı olarak ayarlamalar gerektirebilir. Bu özel durumda, fallocate sistem çağrıları yorum satırına alınmıştı. Derleme süreci aşağıdaki komutları içerir:
Sömürü Gerçekleştirme
Sömürü, root ayrıcalıklarını artıran ve ardından bir shell çalıştıran basit bir C programı (pwn.c
) oluşturmayı içerir. Program derlenir ve elde edilen ikili dosya (a.out
), RPC çağrılarında uid'yi sahte olarak göstermek için ld_nfs.so
kullanarak suid root ile paylaşıma yerleştirilir:
Sömürü kodunu derleyin:
Sömürü paylaşımda yerleştirin ve uid'yi sahte göstererek izinlerini değiştirin:
Root ayrıcalıkları kazanmak için sömürüyü çalıştırın:
Bonus: NFShell için Gizli Dosya Erişimi
Root erişimi elde edildikten sonra, sahipliği değiştirmeden (iz bırakmamak için) NFS paylaşımı ile etkileşimde bulunmak için bir Python betiği (nfsh.py) kullanılır. Bu betik, erişilen dosyanın uid'sini eşleştirerek, paylaşımda dosyalarla izin sorunları olmadan etkileşimde bulunmayı sağlar:
Çalıştırın gibi:
AWS Hacking'i öğrenin ve pratik yapın:HackTricks Eğitim AWS Kırmızı Takım Uzmanı (ARTE)
GCP Hacking'i öğrenin ve pratik yapın:
HackTricks Eğitim GCP Kırmızı Takım Uzmanı (GRTE)
Last updated