Локальное нападение

Докучаев Дмитрий aka Forb

Хакер, номер #071, стр. 071-056-2

Некролог:

Продвинутость операционки еще не гарантирует стабильности ее ядра. Зацени релиз кернела: даже если это 2.6.2, эксплойт справится с трудной задачей по получению рутовых прав. Как и его предшественник, do_mremap.c может работать в интерактивном режиме и легко портироваться с других систем. Скачать do_mremap.c можно отсюда: www.security.nnov.ru/files/mremap_pte.c.

Mandrake 8.1 & 2.4.21-grsecure

Однажды я похитил большую базу клиентов с одного крупного портала. Там были имена клиентов, их логины, пароли, почтовые адреса, телефоны и размеры сапог :). С виду бесполезная информация. После бдительного анализа содержимого базы я выяснил, что один пароль полностью совпадает с пассвордом к почтовому ящику. Радостно хмыкнув, я попробовал залогиниться под юзером на 22 порт. У меня получилось, пароль подошел, и я оказался внутри системы. Дело оставалось за малым - порутать операционку. Прочитав /etc/*release, я выяснил, что система представляет собой не что иное, как Mandrake 8.1. Появилась первая мысль: если дистрибутив старый, то и ядро должно быть старенькое. Но я ошибся: админ своевременно наложил патч от grsecure, благодаря чему все ядерные эксплойты могли идти лесом :). К счастью, я обнаружил, что в каталоге /bin существует файл linuxconf. Этот суидный файл нужен для конфигурации сети в графическом режиме, и я слышал, что в нем обнаружили баг. Я залез на packetstormsecurity.nl и ввел в поисковом окне «linuxconf exploit». Результат не заставил долго себя ждать: нашелся пакет, который, по словам багоискателей, быстро получает рутовые права. Для реализации уязвимости достаточно запустить эксплойт с параметром -p (при этом создаются некоторые переменные окружения), а затем с параметром -f (нахождение длины уязвимого адреса). После всего можно стартовать скрипт handy.sh с двумя параметрами (их вернет lconfex). Теперь, когда взломщик располагает всеми данными, самое время создать каталог segfault.eng и вложенный файл segfault.eng. Последний шаг: запуск lconfex -s параметр_от_первого_запуска -m параметр_от_второго_запуска -r возврат_от_handy.sh. Если все сделано правильно, ты получишь рутовые полномочия. У меня получилось с первого раза. А у тебя? :)