脆弱性を持つLinuxの権限昇格手法を学ぶ【TryHackMe-Linux PrivEsc Arena -Writeup3/3】

こんにちは、ぎんたです。

今回はTryHackMeで提供されている「Linux PrivEsc Arena」というルームの攻略の過程を記事にしています。

ルームはこちらからアクセスできます「Linux PrivEsc ArenaのURL」。

今回の記事は「脆弱性を持つLinuxの権限昇格手法を学ぶ【TryHackMe-Linux PrivEsc Arena -Writeup2/3】」の続編となっています。

前回はTask14まで解説しました。

今回ご紹介するTaskは以下のものです。

• Task15 Capabilities
• Task16 Cron (Path)
• Task17 Cron (Wildcards)
• Task18 Cron (File Overwrite)
• Task19 NFS Root Squashing

が今回の対象です。

無料でアクセス可能なので、試してみたい方はぜひやってみてください。

前提条件の説明

Linuxの権限昇格がテーマとなっているため、すでにユーザ権限で被害サーバに侵入している状態となっています（ユーザの認証情報が判明している）。

侵入先のサーバを探索して設定の不備や脆弱性などを調査し、それぞれのTaskごとで実際に権限昇格をしていく方法を解説していきます。

Linuxの権限昇格（Task15 Capabilities）

このタスクではプロセスのCapabilitiesを使った権限昇格を行います。

getcapコマンドを使用して、システム内のプロセスのCapabilitiesの調査をします。

pythonはsetuidのCapabilitiesがあることが分かります。

すなわちpythonはファイルにSUIDを付与できます。

このCapabilitiesを使ってpythonを使った権限昇格を行っていきたいと思います。

GTFOBinsを確認していきます。

上記の内容から、setuid(0)とした「/bin/sh」をpythonで実行することでroot権限のシェルを取得できそうです。

実行した結果、root権限のシェルを取得できました。

Linuxの権限昇格（Task16 Cron「Path」）

このタスクではCronの設定内記載のPath変数の値がユーザのホームディレクトリで始まることを利用して、攻撃側が準備したスクリプトを実行させて権限昇格を行います。

システム全体のCronは/etc/crontabに記載されています。

今回はoverwrite.shに焦点を当てます。

また、PATH変数を確認すると、「/home/user」で始まっていることが分かります。

このoverwrite.shは相対参照で記載されており、スクリプトが存在する場所が「/home/user」でなければ、こちらが意図したスクリプトをその場所に配置することで権限昇格ができそうです。

絶対参照では、例えば/usr/bin/overwrite.shのようにパス付きで記述します。

overwrite.shのパスをlocateコマンドで確認してみます。

PATH変数の値の前から3番目にある場所（「/usr/local/bin/」）にスクリプトがありました。

よって、PATH変数の値の一番先頭にある「/home/user」にoverwrite.shを作成し配置することで、優先してこちらのスクリプトを実行させることができるでしょう。

以下のコマンドを実行し「/home/user」にoverwrite.shを作成します。

echo ‘cp /bin/bash /tmp/bash; chmod +s /tmp/bash’ > /home/user/overwrite.sh

これにより、SUIDを付与したシェルを/tmp以下に作成できます。

Cronの設定によるとoverwrite.shはrootで動作するので、所有者rootのSUIDを付与することが可能。

１分間待つとoverwrite.shがCronにより実行され、/tmp/bashが作成されます。

• Cronがoverwrite.shを実行
• 相対参照なのでPATH変数を確認、「/home/user」以下にoverwrite.shが存在している
• 「/home/user/overwrite.sh」を実行
• 「/tmp/bash」を作成

という順番です。

「/tmp/bash -p」を実行することで、root権限のシェルを取得できました。

Linuxの権限昇格（Task17Cron「Wildcards」）

このタスクでは、Cronで実行されるスクリプトがtarコマンドをWildcard（*）を含めて実行していることを利用し、権限昇格を行っていきます。

前のタスクと同様にシステム全体のcrontabの内容を確認します。

今回は「/usr/local/bin/compress.sh」の内容を確認します。

このスクリプトは毎分実行され、rootユーザで実行されることが分かります。

スクリプトの内容を確認します。

userディレクトリの内容のバックアップを実行しているようです。

このときにtarコマンドがWildcard（*）を含めて実行されているのが分かります。

GTFOBinsを確認していきます。

一番上の欄にあるコマンドを実行することで、チェックポイントに指定したシェルを実行できます。

上記のコマンドを実行する前に「/home/user」にファイルを準備します。

「/usr/local/bin/compress.sh」が「/home/user」にあるコンテンツをWildcard（*）で指定しているためです。

SUIDを付与したシェルを/tmp以下に作成するプログラムを「/home/user/runme.sh」に保存します。

そして、「/home/user/–checkpoint=1」「/home/user/–checkpoint-action=exec=sh\runme.sh」をファイルとして「/home/user」ディレクトリに保存します。

「/home/user」の内容は以下のようになります。

作成したら、1分間待ちますと、「/home/user/runme.sh」が実行され /tmp/bashが作成されます。

という順番です。

「/tmp/bash -p」を実行することで、root権限のシェルを取得できました。

Linuxの権限昇格（Task18 Cron「File Overwrite」）

このタスクではCronで実行されるスクリプトがユーザ権限で上書き可能であることを利用して権限昇格を行っていきます。

システム全体のジョブは/etc/crontabに記載されています。

今回は赤枠で囲ったoverwrite.shに焦点を当てます。

このスクリプトは毎分実行され、rootユーザで実行されることが分かります。

このスクリプトのパスをlocateコマンドで確認し、lsコマンドでパーミッションを確認します。

一般ユーザでも読み書きができることが分かりました。

このことから次のような方法で特権昇格ができそうです。

• overwrite.shの内容を「root権限で動作するシェルを作成するコマンド」に書き換える
• Cronジョブにより１分間待つ
• こちらが上書きしたシェルを実行する
• root権限のシェルを取得

まず、overwrite.shの内容を以下のコマンドで上書きします。

echo ‘cp /bin/bash /tmp/bash; chmod +s /tmp/bash’ > /home/user/overwrite.sh

これにより、SUIDを付与したシェルを「/tmp」以下に作成できます。

Cronの設定によるとoverwrite.shはrootで動作するので、所有者rootのSUIDを付与することが可能。

１分間待つと上書きしたoverwrite.shが実行され、「/tmp/bash」が作成されます。

「/tmp/bash -p」を実行することで、root権限のシェルを取得できました。

Linuxの権限昇格（Task19 NFS Root Squashing）

このタスクはNFSで作成したファイルがリモートユーザのIDを引き継ぐ性質を利用した権限昇格を行います。

まず、NFSの設定の確認のため「cat /etc/exports」を実行します。

「/tmp」共有を確認すると「no_root_squash」となっており、Root Squashinが無効になっています。

攻撃側の端末からrootユーザを使ってマウントポイントを作成し、「/tmp」共有をマウントします。

続けて、以下のコマンドを実行し、「/tmp/1」フォルダにsetuid(0)としたbashを起動するプログラムを保存します。

root@ip-10-10-64-196:~# echo ‘int main() { setgid(0); setuid(0); system(“/bin/bash”); return 0; }’ > /tmp/1/x.c

プログラムをコンパイルします。

root@ip-10-10-64-196:~# gcc /tmp/1/x.c -o /tmp/1/x

作成した実行ファイルにもSUIDを付与します。

chmod +s /tmp/1/x

攻撃者側のrootユーザで作業しているため、ファイルの所有者もrootになります。

今度は被害サーバ側で作業します。

攻撃側端末で作成した「/tmp/x」を被害サーバのユーザで実行するとrootシェルを取得できました。

まとめ

今回の記事は「脆弱性を持つLinuxの権限昇格手法を学ぶ【TryHackMe-Linux PrivEsc Arena -Writeup2/3】」の続編でした。

解説したTaskは5つあり、以下のものでした。

長かったですが、Linux権限昇格をテーマとしたルームについて3回に分けて解説しました。

linux権限昇格にはどのような手法があるのかということをざっと押さえるのにはよい教材かと思い紹介しました。

興味のある・面白いと思った手法が一つでもあれば幸いです。

以上、ぎんたでした。