README - sudo-chwoot.sh

Description

Ce script est une preuve de concept (PoC) qui démontre une technique d'élévation de privilèges exploitant une vulnérabilité théorique dans 'sudo' (ex. CVE-2025-32463).

Le PoC force 'sudo' à charger une bibliothèque .so manipulée en exploitant la fonctionnalité '-R' (chroot) et une configuration personnalisée du fichier nsswitch.conf.

Attention : Ce script est uniquement destiné à des fins de recherche ou de test dans des environnements contrôlés. Il ne doit pas être exécuté sur des systèmes de production ou sur des machines que vous ne possédez ou gérez pas.

Objectif

• Créer un environnement temporaire contenant une configuration NSS personnalisée.
• Injecter une bibliothèque .so dans une structure chroot.
• Utiliser 'sudo -R' pour forcer le chargement de la bibliothèque et obtenir l'exécution d'une commande avec des privilèges élevés.

Modifications principales

La modification principale par rapport au script original est l'intégration de la bibliothèque .so directement dans le script au format base64.

Avant : La bibliothèque .so devait exister en tant que fichier externe dans le système de fichiers et était copiée avec : cp "$SCRIPT_DIR/woot1337.so.2" libnss_/woot1337.so.2

Maintenant : La bibliothèque .so est incluse dans le script au format textuel (base64) et est écrite dynamiquement dans le système de fichiers temporaire au moment de l'exécution, avec :

    cat << 'EOF' | base64 -d > libnss_/woot1337.so.2
    (contenu base64 ici)
    EOF

Structure du système de fichiers temporaire

Le script crée une structure comme celle-ci :

/tmp/sudowoot.stage.xxxxxx/ ├── woot/ │ └── etc/ │ ├── nsswitch.conf (configuration manipulée) │ └── group (copie de /etc/group) └── libnss_/ └── woot1337.so.2 (bibliothèque .so décodée depuis base64)

Fonctionnement étape par étape

1. Le script crée un répertoire temporaire avec mktemp.
2. Définit la commande à exécuter (par défaut : /bin/bash, ou les arguments passés).
3. Crée la structure des répertoires woot/etc et libnss_.
4. Écrit un fichier nsswitch.conf qui force le chargement d'un module NSS personnalisé : passwd: /woot1337
5. Copie le fichier /etc/group dans woot/etc.
6. Décode et écrit la bibliothèque .so depuis base64.
7. Exécute 'sudo -R woot $CMD', qui lance la commande spécifiée dans le contexte du chroot, chargeant la configuration NSS altérée et la bibliothèque .so.
8. Supprime le répertoire temporaire.

Exécution

Pour rendre le script exécutable :

chmod +x sudo-chwoot.sh

Exécution standard :

./sudo-chwoot.sh
    - Lance un shell root (si l'exploit réussit)

Exécution avec une commande :

./sudo-chwoot.sh id
    - Exécute 'id' en tant que root (si l'exploit réussit)

Comment générer le payload Base64

Pour intégrer une bibliothèque .so personnalisée dans le script, convertissez-la d'abord en base64 :

base64 woot1337.so.2 > woot1337.so.2.b64

Copiez ensuite le contenu du fichier .b64 dans le script dans la section :

cat << 'EOF' | base64 -d > libnss_/woot1337.so.2
(collez ici le contenu base64)
EOF

Notes sur la sécurité

L'utilisation de bibliothèques .so chargées dynamiquement via NSS et chroot peut entraîner l'exécution de code arbitraire avec des privilèges élevés. Ce type d'exploit ne doit être utilisé que dans des contextes de test et jamais sur des systèmes réels sans autorisation explicite.

Avertissement

Ce script est fourni uniquement à des fins éducatives et de recherche. L'auteur n'assume aucune responsabilité pour une utilisation inappropriée du code, ni pour d'éventuels dommages causés. Utiliser uniquement dans des environnements de laboratoire, en connaissance de cause et avec autorisation.