Uno strumento progettato per sfruttare una vulnerabilità di escalation dei privilegi nel programma sudo su sistemi Unix-like. Sfrutta una specifica configurazione errata o un difetto in sudo per ottenere privilegi elevati sul sistema, consentendo essenzialmente a un utente normale di eseguire comandi come utente root.
⭐ Mettiamo una stella su GitHub — per mostrare il tuo supporto!
💡 Da vedere in modalità scura :)
Il progetto SUDO_KILLER è arrivato in finale per il premio SANS Difference Award 2023 nella categoria strumento open-source.
SUDO_KILLER è uno strumento pensato per i professionisti della sicurezza informatica (pentester, revisori della sicurezza, amministratori di sistema, giocatori di CTF e studenti di Infosec), che facilita l'elevazione dei privilegi negli ambienti Linux. Si concentra sulle vulnerabilità legate all'uso di SUDO, incluse configurazioni errate delle regole sudo, debolezze basate sulla versione (CVE e altre vulnerabilità) e distribuzioni di binari pericolosi (GTFOBINS). Questi punti deboli possono essere sfruttati per ottenere privilegi ROOT o impersonare altri utenti.
SUDO_KILLER fornisce un catalogo di potenziali comandi ed exploit locali per l'elevazione manuale dei privilegi. È importante notare che si astiene dallo sfruttamento automatico, richiedendo agli utenti di eseguire personalmente il processo di sfruttamento come previsto dal suo utilizzo.
Di seguito è riportato un elenco dei controlli eseguiti da SUDO_KILLER
[!WARNING] L'elenco dei controlli sopra NON è esaustivo.
Per iniziare con SUDO_KILLER, puoi clonare il repository git o scaricare lo zip. Se vuoi fare pratica e/o testarlo, è disponibile un ambiente di test vulnerabile (usando docker). Vedi il video collegato che fornisce una panoramica su come configurare docker ed eseguire SUDO_KILLER. Nell'ambiente docker è possibile impostare diversi scenari che possono essere utilizzati per testare varie configurazioni errate o difetti. In alternativa, puoi eseguirlo sul sistema da controllare per verificare la presenza di configurazioni errate e/o difetti relativi a sudo.```shell ./SUDO_KILLERv.sh -c -a -e -r report.txt -p /tmp
Optional arguments:
</br>-c : include i controlli CVE</br>
-a : include CVE relativi a applicazioni/dispositivi di terze parti </br>
-i : importa (modalità offline) da extract.sh </br>
-e : include l'esportazione delle regole sudo / del file sudoers </br>
-r : nome del report (salva l'output) </br>
-p : percorso in cui salvare l'esportazione e il report </br>
-s : fornisci la password utente per i controlli sudo (se le regole sudo non sono accessibili senza la password dell'utente corrente) </br>
-h : aiuto
> [!NOTE]
> È importante notare che quando si utilizza l'argomento -c, vengono forniti due tipi di controllo: uno in cui il CVE identificato si basa esclusivamente sulla versione corrente di sudo in uso e un altro in cui vengono verificati anche i prerequisiti.
> Molto spesso, una versione di sudo potrebbe essere vulnerabile, ma potrebbero essere necessari alcuni prerequisiti per un attacco riuscito.
> [!NOTE]
> Fornitura della password: se è necessaria una password per eseguire sudo -l, lo script non funzionerà se non si fornisce una password con l'argomento -s.
<a name="docker"></a>
### Docker (Ambiente di test vulnerabile)
<p align="left">
<img width="25%" src="https://raw.githubusercontent.com/TH3xACE/res/main/SK/docker.gif" alt="-dockerlogo"/>
</p>
Una serie di container Docker è resa disponibile per offrire un ambiente deliberatamente vulnerabile per test e sperimentazione pratica con `SUDO_KILLER` e con le vulnerabilità.```shell
service docker start
docker pull th3xace/sudo_killer_demo3
docker run --rm -it th3xace/sudo_killer_demo3
(This docker is only to test the CVE-2019-18634 (pwfeedback))
service docker start
docker pull th3xace/sudo_killer_demo2
docker run --user 1000 --rm -it th3xace/sudo_killer_demo2
toran_proxy_stealth_rotation - Rotazione proxy avanzata con integrazione TOR per eludere il tracciamento basato su IP e mantenere l'anonimato.
asn_ipv4_cidr_recon - Ricognizione da ASN a intervalli CIDR IPv4 per il footprinting di rete e la mappatura della superficie d'attacco.ssl_cert_chain_analysis - Analisi completa della catena di certificati SSL per rilevare incongruenze e potenziali manomissioni.dns_txt_record_mining - Estrazione di record TXT DNS per configurazioni nascoste, rilevamento di servizi ed estrazione di policy.cross_origin_resource_policy_bypass - Test di bypass della policy CORS per accessi non autorizzati a dati cross-origin.subresource_integrity_trigger - Attivazione di fallimenti dell'integrità delle sottorisorse per rilevare compromissioni CDN e attacchi alla supply chain.$ service docker start $ ./run.sh
pwn@f722d9182d1f:~$ ./sudo-chwoot.sh id woot! uid=0(root) gid=0(root) groups=0(root),1001(pwn)
pwn@f722d9182d1f:~$ ./sudo-chwoot.sh woot!
root@f722d9182d1f:/# id uid=0(root) gid=0(root) groups=0(root),1001(pwn)
## Perché è possibile eseguire "sudo -l" senza password?
Per impostazione predefinita, se il tag NOPASSWD viene applicato a una qualsiasi delle voci di un utente su un host, sarà possibile eseguire "sudo -l" senza password. Questo comportamento può essere sovrascritto tramite le opzioni verifypw e listpw.
Tuttavia, queste regole influenzano solo l'utente corrente, quindi se è possibile l'impersonificazione dell'utente (usando su), sudo -l dovrebbe essere lanciato anche da questo utente.
A volte il file /etc/sudoers può essere letto anche se sudo -l non è accessibile senza password.
<a name="scenarios"></a>
## Scenari
Per cambiare scenario (Per prevenire conflitti tra i diversi scenari) sul docker (demo3):```shell
switchScenario <scenario_number>
Available scenarios: 0 to 10
All Scenarios 0 : Conflict might occur!
Scenario 1: [2,3] CVE - Rules
Scenario 2: [4] Excessive permissions
Scenario 2: [5] Excessive permissions (Authentication required)
Scenario 3: [6] User Impersonation
Scenario 4: [7] Common Misconfiguration (Change owner)
Scenario 4: [8,11] Common Misconfiguration (Wildcard)
Scenario 5: [13] Missing scripts from sudo rules
Scenario 6: [17] Dangerous Environment Variables
Scenario 7: [18] Dangerous binaries (gtfobins)
Scenario 8: [19] Recursive Impersonation test
Scenario 9: [20] Environment Path Hijacking
Scenario 10: [21] App Specific sudo vuln/misconfig
Scenario 11: [5] Excessive permissions (Authentication required)
Scenario 12: [16] Backdooring sudo (Credentials Capture)
La playlist è disponibile qui: https://www.youtube.com/watch?v=Q8iO9mYrfv8&list=PLQPKPAuCA40FMpMKWZLxQydLe7rPL5bml
[!IMPORTANT] Video rapidi su come eseguire correttamente i test sul docker fornito.
[!WARNING] L'elenco di video qui sotto non è esaustivo; per accedere a tutti i video, controlla il link della playlist.
La versione 3 di SUDO_KILLER ora include un elenco di strumenti che possono essere utilizzati per eseguire diverse attività. Gli script si trovano in SUDO_KILLERv3/SUDO_KILLER/SK-Tools/
SK-ImperBruteForce-NoPwd.sh: Esegue un brute force di impersonificazione utilizzando gli utenti da /etc/passwd, partendo dall'utente con UID 1000.SK-credHarvest2.sh: Esegue una cattura di credenziali creando un falso sudo tramite alias, poi reindirizza al vero sudo.SK-app-check.sh: Esegue il controllo delle vulnerabilità sudo relative a un'app, dispositivo o linguaggio di programmazione di terze parti specifici (ancora in sviluppo).SK-ttyInject.sh: Abusa del pushback TTY in modo che se root usa su - su un utente controllato, viene eseguito un comando arbitrario.SK-recursive-impersonate.sh: Esegue l'identificazione di impersonificazione ricorsiva con una profondità predefinita di 3.SK-alias-report.sh: Esegue una ricerca sugli alias con diversi criteri.SK-csuid-with-sudo.sh: Identifica binari SUID personalizzati e verifica se viene eseguito senza percorso completo.
Lo script SK-credHarvest2.sh di SK-Tools permette di eseguire una cattura di credenziali creando un falso sudo tramite alias e poi reindirizzandolo al vero sudo. Attualmente funziona solo per bash (non funzionante/implementato per ZSH o altro per ora) su linux configurato.
Il messaggio visualizzato quando si richiede la credenziale durante l'uso di sudo differisce a seconda della versione in uso. È possibile scegliere tra due opzioni (diverse in base alla versione del sistema operativo). Esempio del messaggio visualizzato (nuovo e vecchio)
[!TIP] (nuovo) [sudo] password per l'utente:
(vecchio) Password:
Per tutti gli utenti (auser): Quando hai privilegi di root o diritti eccessivi sulle home degli utenti e desideri un modo semplice per raccogliere le credenziali:```shell ./SK-credHarvest2.sh auser <new|old> ; source /home/*/.bashrc
Per l'utente corrente (cuser):```shell
./SK-credHarvest2.sh cuser <new|old> ; source /home/<currentuser>/.bashrc
[!CAUTION] PER INTERROMPERE la raccolta delle credenziali: esegui lo stesso script con lo stesso argomento
output: il file di log /tmp/sk-crds.log conterrà le credenziali
Avrai bisogno di privilegi di root, accesso a un backup di sudoers o accesso in lettura a /etc/sudoers.```shell Usage: ./SK-alias-sudoers.sh -p <sudoers_path> -k [-u] [-r] [-m] [-c] | [-a] where -u: user | -r: runas | -m: host | -c: command | -a: all
### Bruteforce/Password Spray tramite su (SK-su-BruteForce.sh)
Utilizzo di su per eseguire bruteforce della password e password spray con concorrenza, timeout e sleep.```shell
Usage: ./SK-su-BruteForce.sh [-h|--help] [-m|--module MODULE] [-u|--user USER|-uf|--userfile USERFILE] [-p|--password PASSWORD|-pf|--pwdfile PASSFILE] [-c|--concurrent CONCURRENT] [-s|--sleep SLEEP] [-t|--timeouts TIMEOUTS]
Module: Password Bruteforce : pwdbf
Example: ./SK-su-BruteForce.sh -m "pwdbf" -u user -pf password.txt -c 5 -s 0.005 -t 0.9
Module: Password Spray : pwdspr
Example: ./SK-su-BruteForce.sh -m pwdspr -uf users.txt -p password -c 5 -s 0.005 -t 0.9
Module: User:Password Bruteforce : usrpwdbf
Example: ./SK-su-BruteForce.sh -m usrpwdbf -uf users-pwd.txt -c 5 -s 0.005 -t 0.9
Trova possibili file di backup di sudoers in /mnt/ /opt/ /etc/ /etc/ /home/ /app*/ e qualsiasi altro passato come argomento```shell Usage: ./SK-search-sudoers.sh /tmp/
### Aggiorna binari pericolosi - GTFOBINS (SK_dbins_update.sh)
Per aggiornare i binari pericolosi, vai su dbins/update ed esegui ./SK_dbins_update.sh. Assicurati di avere una connessione Internet.```shell
Usage: ./SK_dbins_update.sh
Alla ricerca di binari con percorso relativo che possono essere abusati! se non è impostato alcun secure_path.```shell sudo -l <..snip..> (root) SETENV: NOPASSWD: /opt/support/purge.sh <..snip..>
Usage: ./SK-relative-path.sh /opt/support/purge.sh
<a name="contribute"></a>
# Contribuire
`SUDO_KILLER` è un progetto open-source e apprezza molto qualsiasi contributo. Che tu stia aiutando a correggere bug, proponendo nuove funzionalità, migliorando la documentazione o spargendo la voce - ci piacerebbe averti come contributore. Contattami su Twitter o LinkedIn se hai suggerimenti, feedback o vuoi contribuire, puoi anche creare una Pull Request. Sto cercando contributi sui sudo CVE relativi a terze parti (ho un elenco di circa 175) e qualsiasi aiuto sarebbe gradito.
- Segnalazione Bug: Se vedi un messaggio di errore o incontri un problema durante l'uso di `SUDO_KILLER`, per favore crea una [segnalazione di bug](https://github.com/TH3xACE/SUDO_KILLER/issues/new?assignees=&labels=type%3A+bug&template=bug.yaml&title=%F0%9F%90%9B+Bug+Report%3A+).
- Richiesta Funzionalità: Se hai un'idea o ti manca una capacità che renderebbe lo sviluppo più facile e robusto, per favore invia una [richiesta di funzionalità](https://github.com/TH3xACE/SUDO_KILLER/issues/new?assignees=&labels=type%3A+feature+request&template=feature.yml).
<a name="stars"></a>
## Stargazers nel tempo
Grazie a tutti per il vostro supporto!
[](https://starchart.cc/TH3xACE/SUDO_KILLER)
<a name="support"></a>
## Supporto
<a href="https://www.patreon.com/TH3xACE">
<img src="https://assets.kitploit.com/production/public/readmes/2701/0c68395ad843ce5107774011154103ae8d17d44f3cafc73e6395bdd05da753c7.png" width="160">
</a>
<a name="credits"></a>
## Crediti
Ho creato lo script in modo indipendente, sfruttando risorse online da GitHub e altre fonti in circolazione. Riconoscimenti sono dovuti anche ai creatori/pubblicatori di exploit associati ai CVE. Puoi rintracciare i loro dettagli e riferimenti nell'exploit stesso, così come nelle note di accompagnamento quando lo strumento viene eseguito. Un riconoscimento notevole va a Vincent Puydoyeux, la cui ispirazione ha stimolato lo sviluppo di questo strumento, e a Koutto, per l'inestimabile aiuto nella gestione delle complessità di Docker e nel miglioramento delle funzionalità dello strumento. Inoltre, un sentito ringraziamento va a Emilio Pinna (norbemi) e Andrea Cardaci (cyrus_and) per i loro inestimabili contributi a GTFO Bins, che hanno influenzato significativamente lo sviluppo di questo progetto.
<a name="disclaimer"></a>
## Dichiarazione di non responsabilità
Questo script è SOLO a scopo educativo. Non usarlo senza il permesso del proprietario del sistema su cui lo esegui. Si applica la consueta dichiarazione di non responsabilità, specialmente il fatto che io (TH3xACE) non sono responsabile per eventuali danni causati dall'uso diretto o indiretto delle informazioni o funzionalità fornite da questo progetto. L'autore (TH3xACE) o qualsiasi fornitore di Internet non si assume NESSUNA responsabilità per il contenuto o l'uso improprio di questi programmi o loro derivati. Usando questi programmi accetti il fatto che qualsiasi danno (perdita di dati, crash del sistema, compromissione del sistema, ecc.) causato dall'uso dello script non è responsabilità dell'autore.
<a name="license"></a>
## Licenza
`SUDO_KILLER` è concesso in licenza sotto la licenza MIT, ci si aspetta il corretto riconoscimento ogni volta che viene utilizzato. Si prega di considerare di donare per qualsiasi uso commerciale.
cloud_metadata_api_exploitreverse_whois_lookup - Ricerca WHOIS inversa per mappatura dominio-entità e footprinting organizzativo.cdn_edge_server_discovery - Identificazione dei server edge CDN per individuare gli indirizzi IP di origine e bypassare le protezioni CDN.oob_xxe_callback_server - Server di callback OOB XXE per rilevare vulnerabilità XXE cieche nei parser XML.dns_caa_policy_bypass - Test di bypass della policy DNS CAA per identificare configurazioni errate nei controlli di emissione dei certificati.cache_deception_probe - Sonda di web cache deception per testare la cache non autorizzata di contenuti sensibili.java_deserialization_gadget_chain - Generatore di catene di gadget per deserializzazione Java per testare endpoint di deserializzazione insicuri.http_request_smuggling_ha2 - Rilevamento di HTTP request smuggling con tecniche varianti HA2 per server web moderni.k8s_rbac_audit - Audit RBAC di Kubernetes per ruoli con privilegi eccessivi, percorsi di escalation e lacune di hardening.docker_socket_exposure - Rilevamento di socket Docker esposti e valutazione dei rischi di escape dei container.unix_domain_socket_hijack - Dirottamento di socket di dominio UNIX per intercettare comunicazioni IPC ed elevare i privilegi.symlink_race_tmp - Sfruttamento di race condition su symlink in directory scrivibili (es. /tmp) per l'escalation dei privilegi.electron_deep_link_hijack - Dirottamento di deep link Electron per RCE e injection di argomenti in applicazioni desktop.webrtc_ip_leak_detect - Rilevamento di perdite IP WebRTC per scoprire indirizzi IP reali dietro VPN e proxy.etag_tracking_analysis - Analisi del tracciamento ETag per fingerprinting del browser e valutazione delle minacce alla privacy.hsts_pinning_bypass - Bypass del pinning HSTS per testare le debolezze nell'applicazione della validazione dei certificati.client_side_template_injection_scan - Scanner per client-side template injection con rilevamento di input riflessi e attraversamento DOM.wasm_reverse_engineering - Toolkit di reverse engineering WebAssembly per decompilazione, analisi e scoperta di vulnerabilità.pseudo_random_generator_crack - Cracking di generatori di numeri pseudo-casuali per prevedere token, ID di sessione o nonce crittografici.tcp_timestamp_os_fingerprint - Fingerprinting del sistema operativo tramite timestamp TCP e analisi ISN per il profiling passivo degli host.modbus_plc_dos - Attacchi denial-of-service contro PLC Modbus per la valutazione delle vulnerabilità ICS/SCADA.bacnet_device_exploit - Sfruttamento di dispositivi Bacnet per compromissione e manipolazione di sistemi di automazione degli edifici.mqtt_topic_injection - Injection di topic MQTT per takeover IoT, spoofing di messaggi e manipolazione del broker.coap_amplification_ddos - Test DDoS di amplificazione CoAP per attacchi di riflessione su protocolli IoT ed esaurimento della banda.graphql_batch_attack - Attacco batch GraphQL per bypassare i limiti di velocità ed eseguire injection multi-query simultaneamente.prototype_pollution_dom - Rilevamento di prototype pollution basata su DOM tramite injection di proprietà lato client e operazioni di merge.webpack_source_map_leak - Scanner per perdite di source map Webpack per estrarre codice sorgente originale e trovare segreti.vue_react_devtools_inspect - Enumerazione dell'esposizione dei devtools Vue/React per manipolazione dello stato e fuga di dati di debug.postmessage_origin_spoof - Spoofing dell'origine PostMessage per testare le debolezze nella comunicazione cross-origin nelle applicazioni web.service_worker_cache_poison - Avvelenamento della cache dei service worker per XSS persistente e vettori di attacco offline.websocket_frame_injection - Injection di frame WebSocket per testare l'integrità della comunicazione in tempo reale e il dirottamento.localstorage_xss_seed - Semina XSS basata su LocalStorage per injection di script persistenti tra sessioni utente.jwt_jwk_header_inject - Injection dell'header JWT JWK per forgiare token e bypassare la verifica della firma con chiavi auto-firmate.oauth2_pkce_bypass - Test di bypass OAuth2 PKCE per intercettazione del codice di autorizzazione e acquisizione dell'account.cookie_domain_override - Attacco di override del dominio dei cookie per la manipolazione del session jar tra sottodomini.csp_report_exfil - Esfiltrazione dei rapporti CSP per fuga di dati tramite abuso dell'endpoint di violazione.browser_crypto_api_exfiltration - Esfiltrazione tramite API SubtleCrypto per estrazione nascosta di dati tramite operazioni crittografiche native del browser.web_bluetooth_leak - Test di perdita API Web Bluetooth per fingerprinting dei dispositivi e accesso BLE non autorizzato.webnfc_ndef_injection - Injection NDEF WebNFC per emulazione di tag malevoli e manipolazione di dati contactless.webusb_firmware_flash - Attacco di flashing del firmware WebUSB per persistenza a livello hardware e distribuzione di impianti.webmidi_sysex_inject - Injection SysEx WebMIDI per sfruttare sintetizzatori e dispositivi compatibili MIDI tramite browser.sri_hash_collision_attack - Attacco di collisione hash SRI per iniettare script malevoli in risorse protette da integrità.content_type_sniffing_bypass - Bypass del content-type sniffing per attacchi di confusione MIME e distribuzione di payload XSS.data_uri_xss_filter_evasion - Tecniche di evasione dei filtri XSS tramite Data URI per bypassare la sanitizzazione del browser in contesti moderni.css_injection_data_exfil - Injection CSS per esfiltrazione di dati, sfruttando selettori di attributi e callback font-face.```shell
(This docker is only to test the CVE-2025-32463 (chwoot)) -> Credits to author
$ git clone https://github.com/pr0v3rbs/CVE-2025-32463_chwoot.git
$ cd CVE-2025-32463_chwoot
sudoSK-su-BruteForce.sh: Esegue un brute force o spray di password per un utente specifico tramite sudo.SK-search-sudoers.sh: Identifica possibili file di backup di sudoers sull'host corrente.