README - sudo-chwoot.sh

Descripción

Este script es una prueba de concepto (PoC) que demuestra una técnica de escalada de privilegios aprovechando una vulnerabilidad teórica en 'sudo' (p. ej., CVE-2025-32463).

El PoC obliga a 'sudo' a cargar una librería .so manipulada aprovechando la funcionalidad '-R' (chroot) y una configuración personalizada del archivo nsswitch.conf.

Advertencia: Este script es solo con fines de investigación o pruebas en entornos controlados. No debe ejecutarse en sistemas de producción ni en máquinas que no se posean o administren.

Objetivo

• Crear un entorno temporal que contenga una configuración NSS personalizada.
• Inyectar una librería .so dentro de una estructura chroot.
• Usar 'sudo -R' para forzar la carga de la librería y obtener la ejecución de un comando con privilegios elevados.

Modificaciones principales

La modificación principal respecto al script original es la integración de la librería .so directamente dentro del script en formato base64.

Antes: La librería .so debía existir como archivo externo en el sistema de archivos y se copiaba con: cp "$SCRIPT_DIR/woot1337.so.2" libnss_/woot1337.so.2

Ahora: La librería .so está incluida en el script en formato textual (base64) y se escribe dinámicamente en el sistema de archivos temporal en el momento de la ejecución, con:

    cat << 'EOF' | base64 -d > libnss_/woot1337.so.2
    (pega aquí el contenido base64)
    EOF

Estructura del sistema de archivos temporal

El script crea una estructura como esta:

/tmp/sudowoot.stage.xxxxxx/ ├── woot/ │ └── etc/ │ ├── nsswitch.conf (configuración manipulada) │ └── group (copia de /etc/group) └── libnss_/ └── woot1337.so.2 (librería .so decodificada desde base64)

Funcionamiento paso a paso

1. El script crea un directorio temporal con mktemp.
2. Establece el comando a ejecutar (por defecto: /bin/bash, o los argumentos pasados).
3. Crea la estructura de directorios woot/etc y libnss_.
4. Escribe un archivo nsswitch.conf que fuerza la carga de un módulo NSS personalizado: passwd: /woot1337
5. Copia el archivo /etc/group dentro de woot/etc.
6. Decodifica y escribe la librería .so desde base64.
7. Ejecuta 'sudo -R woot $CMD', que inicia el comando especificado en el contexto del chroot, cargando la configuración NSS modificada y la librería .so.
8. Elimina el directorio temporal.

Ejecución

Para hacer ejecutable el script:

chmod +x sudo-chwoot.sh

Ejecución estándar:

./sudo-chwoot.sh
    - Inicia una shell root (si el exploit tiene éxito)

Ejecución con comando:

./sudo-chwoot.sh id
    - Ejecuta 'id' como root (si el exploit tiene éxito)

Cómo generar el payload Base64

Para integrar una librería .so personalizada en el script, primero conviértela a base64:

base64 woot1337.so.2 > woot1337.so.2.b64

A continuación, copia el contenido del archivo .b64 dentro del script en la sección:

cat << 'EOF' | base64 -d > libnss_/woot1337.so.2
(pega aquí el contenido base64)
EOF

Notas sobre la seguridad

El uso de librerías .so cargadas dinámicamente a través de NSS y chroot puede causar la ejecución de código arbitrario con privilegios elevados. Este tipo de exploit debe utilizarse solo en entornos de prueba y nunca en sistemas reales sin autorización explícita.

Descargo de responsabilidad

Este script se proporciona solo con fines educativos y de investigación. El autor no asume ninguna responsabilidad por el uso indebido del código ni por los posibles daños causados. Usar únicamente en entornos de laboratorio, con conocimiento y autorización.