Abuso di SUID e sudo

Il bit di permesso SUID fa sì che un file venga eseguito con i privilegi del suo proprietario, anziché con quelli dell'utente che lo ha avviato. Quando il proprietario è root, un binario SUID viene eseguito come root — utile per strumenti come passwd, ma pericoloso se sfruttato impropriamente.

Enumera ogni file SUID e lo confronti con una baseline sicura conosciuta. Qualsiasi elemento insolito — un editor di testo, un interprete o un binario personalizzato — è un candidato.

GTFOBins è un catalogo curato che mostra come abusare dei binari Unix standard per evadere da limitazioni, aumentare i privilegi o leggere/scrivere file quando si dispone di diritti SUID o sudo. Controlli sempre il binario individuato su GTFOBins.

Se find ha il bit SUID, la sua opzione -exec esegue i comandi come root, concedendo immediatamente una shell root.

Molti interpreti e pager avviano shell. Un vim, less, awk o python con SUID può fornire una shell root.

Esegua sudo -l per elencare i comandi consentiti. Le voci che permettono di eseguire come root un binario sfruttabile, o che usano NOPASSWD, offrono risultati immediati. Il comando non deve necessariamente essere una shell — GTFOBins mostra le modalità di evasione per molti comandi.

Se può eseguire sudo vim (o varianti di less, more, man e nano), può avviare una shell come root dall'interno del programma.

Se sudo conserva LD_PRELOAD (tramite env_keep), può caricare una libreria condivisa malevola che viene eseguita come root all'avvio del comando sudo.

Versioni specifiche di sudo presentano dei difetti — ad esempio il buffer overflow nell'heap di Baron Samedit (CVE-2021-3156) e l'aggiramento -u#-1 (CVE-2019-14287). Confronti sudo --version con le CVE note.

A volte gli sviluppatori distribuiscono helper SUID personalizzati che chiamano altri programmi per nome, senza un percorso assoluto. Se controlla PATH, può dirottare quella chiamata — collegandosi alle tecniche di abuso di PATH trattate in seguito.

Chi difende i sistemi dovrebbe ridurre al minimo i binari SUID, usare percorsi assoluti, rilasciare presto i privilegi e mantenere sudo aggiornato con regole restrittive. In qualità di tester, sfrutti queste condizioni solo nell'ambito autorizzato.

Ha imparato a sfruttare SUID e sudo:

• SUID esegue un binario come il suo proprietario (spesso root)
• Controlli i binari individuati su GTFOBins
• Evasioni verso una shell tramite SUID/sudo con find, vim, awk, less
• LD_PRELOAD e le CVE di sudo (Baron Samedit) consentono anch'essi di aumentare i privilegi

Prossimo argomento: cron job e abuso di PATH.