Abuso de SUID y Sudo

El bit de permisos SUID hace que un archivo se ejecute con los privilegios de su propietario en lugar de los del usuario que lo inició. Cuando el propietario es root, un binario SUID se ejecuta como root; esto resulta útil para herramientas como passwd, pero es peligroso si se abusa de ello.

Enumere todos los archivos SUID y compárelos con una referencia conocida como segura. Cualquier elemento inusual —un editor de texto, un intérprete o un binario personalizado— es un candidato.

GTFOBins es un catálogo seleccionado que explica cómo se puede abusar de binarios Unix estándar para escapar de restricciones, escalar privilegios o leer y escribir archivos cuando se les conceden permisos SUID o sudo. Compruebe siempre un binario descubierto en GTFOBins.

Si find tiene el bit SUID, su opción -exec ejecuta comandos como root, lo que concede al instante una shell root.

Muchos intérpretes y paginadores generan shells. Un vim, less, awk o python con SUID puede proporcionarle una shell root.

Ejecute sudo -l para enumerar los comandos permitidos. Las entradas que permiten ejecutar como root un binario explotable, o utilizar NOPASSWD, ofrecen oportunidades inmediatas. El comando no tiene que ser una shell: GTFOBins muestra escapes para muchos comandos.

Si puede ejecutar sudo vim (o variantes de less, more, man o nano), puede salir a una shell como root desde el propio programa.

Si sudo conserva LD_PRELOAD (mediante env_keep), puede cargar una biblioteca compartida maliciosa que se ejecute como root cuando se inicie el comando sudo.

Versiones concretas de sudo presentan fallos; por ejemplo, el desbordamiento de heap de Baron Samedit (CVE-2021-3156) y la evasión -u#-1 (CVE-2019-14287). Compruebe sudo --version frente a las CVE conocidas.

A veces, los desarrolladores distribuyen helpers SUID personalizados que llaman a otros programas por nombre, sin una ruta absoluta. Si controla PATH, puede secuestrar esa llamada, conectando con las técnicas de abuso de PATH que se explican a continuación.

Los defensores deben minimizar los binarios SUID, utilizar rutas absolutas, eliminar privilegios pronto y mantener sudo actualizado con reglas estrictas. Como tester, explote estos fallos únicamente dentro del alcance autorizado.

Ha aprendido sobre el abuso de SUID y sudo:

• SUID ejecuta un binario como su propietario (a menudo root)
• Compruebe los binarios descubiertos en GTFOBins
• Los escapes a shell mediante SUID/sudo incluyen find, vim, awk y less
• LD_PRELOAD y las CVE de sudo (Baron Samedit) también permiten escalar privilegios

A continuación: trabajos de cron y abuso de PATH.