Abus de SUID et sudo

Le bit de permission SUID fait s’exécuter un fichier avec les privilèges de son propriétaire, plutôt qu’avec ceux de l’utilisateur qui l’a lancé. Lorsque le propriétaire est le superutilisateur, un binaire SUID s’exécute avec ses privilèges : c’est utile pour des outils comme passwd, mais dangereux en cas d’abus.

Énumérez tous les fichiers SUID et comparez-les à une référence connue comme sûre. Tout élément inhabituel, comme un éditeur de texte, un interpréteur ou un binaire personnalisé, est un candidat.

GTFOBins est un catalogue organisé expliquant comment détourner des binaires Unix standards pour s’échapper d’un environnement restreint, élever ses privilèges ou lire et écrire des fichiers lorsqu’ils disposent de droits SUID ou sudo. Vérifiez toujours un binaire découvert dans GTFOBins.

Si find possède le bit SUID, son option -exec exécute les commandes avec les privilèges du superutilisateur et accorde immédiatement un interpréteur de commandes avec ces privilèges.

De nombreux interpréteurs et afficheurs de texte lancent des interpréteurs de commandes. Un vim, less, awk ou python doté de SUID peut vous donner accès à un interpréteur de commandes avec les privilèges du superutilisateur.

Exécutez sudo -l pour répertorier les commandes autorisées. Les entrées qui permettent d’exécuter en tant que superutilisateur un binaire exploitable ou d’utiliser NOPASSWD offrent des possibilités immédiates. La commande n’a pas besoin d’être un interpréteur de commandes : GTFOBins présente des échappements pour de nombreux programmes.

Si vous pouvez exécuter sudo vim (ou des variantes avec less, more, man ou nano), vous pouvez lancer un interpréteur de commandes avec les privilèges du superutilisateur depuis le programme.

Si sudo conserve LD_PRELOAD (via env_keep), vous pouvez charger une bibliothèque partagée malveillante qui s’exécute avec les privilèges du superutilisateur au démarrage de la commande sudo.

Certaines versions de sudo présentent des failles, par exemple le dépassement de tas Baron Samedit (CVE-2021-3156) et le contournement -u#-1 (CVE-2019-14287). Comparez sudo --version aux CVE connues.

Les développeurs fournissent parfois des assistants SUID personnalisés qui appellent d’autres programmes par leur nom, sans chemin absolu. Si vous contrôlez PATH, vous pouvez détourner cet appel : cela mène aux techniques d’abus de PATH présentées ensuite.

Les défenseurs doivent réduire le nombre de binaires SUID, utiliser des chemins absolus, abandonner rapidement les privilèges et maintenir sudo à jour avec des règles strictes. En tant que testeur, n’exploitez ces éléments que dans le cadre autorisé.

Vous avez appris à exploiter SUID et sudo :

• SUID exécute un binaire avec les privilèges de son propriétaire, souvent le superutilisateur
• Vérifier les binaires découverts dans GTFOBins
• Échappements vers l’interpréteur via SUID/sudo avec find, vim, awk et less
• LD_PRELOAD et les CVE de sudo (Baron Samedit) permettent également une élévation

Ensuite : tâches cron et abus de PATH.