CVE_Project

Preparazioni per lo sfruttamento:

1. Installa Tomcat 7 sulla macchina virtuale

sudo apt-get install tomcat7

2. Se il primo passo fallisce, imposta JDK_DIRS="/usr/lib/jvm/java-8-oracle" e aggiungi le dichiarazioni “export JAVA_HOME=/usr/lib/jvm/java-8-oracle” e “export CATALINA_HOME=/usr/share/tomcat7”. Quindi reinstalla Tomcat 7

3. Imposta una password iniziale per l'utente Tomcat

sudo passwd tomcat7

4. Assegna la shell di login per l'utente Tomcat

sudo usrmod -s /bin/bash tomcat7

5. Stabilisci la shell dell'utente Tomcat 7

ssh tomcat7@localhost

Avvia l'attacco:

1. Crea gli script di exploit attack.sh in /tmp tramite la shell dell'utente Tomcat7 e poi rendi eseguibili i codici di exploit touch attack.sh

chmod +x attack.sh

2. Esegui il codice di exploit

./attack.sh

3. Riavvia il server Tomcat per controllare il risultato dell'attacco.

sudo service tomcat7 restart

4. Controlla l'ID dell'utente

id

Allora l'attacco dovrebbe avere successo e l'euid dovrebbe essere 0, che è root.

Vulnerabilità:

# Run the catalina.sh script as a daemon
set +e
touch "$CATALINA_PID" "$CATALINA_BASE"/logs/catalina.out
chown $TOMCAT7_USER "$CATALINA_PID" "$CATALINA_BASE"/logs/catalina.out
start-stop-daemon --start -b -u "$TOMCAT7_USER" -g "$TOMCAT7_GROUP" \
	-c "$TOMCAT7_USER" -d "$CATALINA_TMPDIR" -p "$CATALINA_PID" \
	-x /bin/bash -- -c "$AUTHBIND_COMMAND $TOMCAT_SH"
status="$?"
set +a -e
return $status

Il codice sopra è la chiave per l'escalation dei privilegi. Poiché viene eseguito con privilegi di root, può fare qualsiasi cosa vogliamo. Poi dobbiamo cambiare il proprietario di catalina.out all'utente tomcat7. Dopo aver riavviato Tomcat, siamo in grado di leggere il file a cui catalina punta.

Nello specifico, quando Tomcat si riavvia, cambierà il proprietario di catalina.out all'utente Tomcat, e il riavvio è invocato da init di Linux. Sfruttando init di Linux, possiamo usare un symlink per cambiare il proprietario di qualsiasi file all'utente tomcat. Se colleghiamo simbolicamente catalina.out a qualsiasi file, potremmo operare su qualsiasi file nel sistema con il privilegio di root che viene dato da catalina.out. Questo è un tipico sfruttamento di DLL hijack.