Локальное нападение

Докучаев Дмитрий aka Forb

Хакер, номер #071, стр. 071-056-4

Некролог:

Эксплойт unixtank2 (www.security.nnov.ru/files/iosmash.c) действительно работает. Он помогает взять права любого пользователя в системах FreeBSD 4.6 и ниже, благодаря ошибке в суидном файле keyinit. С помощью хитрого переполнения буфера добавляется фейковый ключ, с которым любой желающий может получить права учетной записи. Из-за улучшенной защиты FreeBSD необходимо запускать эксплойт два раза: первый раз для получения доступа в группу wheel, второй - для захвата рутовых привилегий. К сожалению, использовать эксплойт два раза для одной учетной записи невозможно, так как su обрабатывает лишь первый ключ в /etc/skeykeys.

SunOS 5.9

Я всегда интересуюсь хостинговыми площадками. Во-первых, иметь доступ на таком сервере – значит владеть базами клиентов с валидными кредитками, юзать мощный канал по своему желанию и садить всяких ботов с разных хостов :). Однажды мне посчастливилось получить привилегии пользователя www на раскрученном сервере одного известного зарубежного хостера. На этой машине было прописано около сотни аккаунтов, каждый из которых являлся админом домена второго уровня. К сожалению, ни один из найденных паролей не подходил к MySQL. Чтобы рестартануть СУБД без подвязки grant-таблиц, мне было необходимо получить рутовые права. Чем я и занялся. Заценив архив эксплойтов на securiy.nnov.ru, я выбрал последнюю новинку, нацеленную на какой-то баг в ядре. Я скачал архив, к которому приводилось подробное описалово, набрал команду make (на Солярке даже компилятор был в рабочем состоянии) и выполнил запрос ./rootme. Автор эксплойта меня не обманул - зловредный бинарник на самом деле запустил рутовый шелл.

Некролог:

Несмотря на свежий релиз системы, в ядре Solaris имеется баг в функции vfs_getvfssw(). Она позволяет подгружать произвольный модуль. После изучения исходных кодов этой подозрительной процедуры стало ясно, что проверку местонахождения модуля можно обмануть! Действительно, багоискатели написали эксплойт, который подгружает модуль, дающий рутовые права. Злой плагин находился в каталоге /tmp/sparcv9 - этот путь бажная функция успешно переваривала. В результате подгрузки в системе создавался суидный файл /tmp/sh, что было только на руку хакеру :). Примечательно, что эксплойт работает и на десятой версии Солярки. Скачать хакерский пакет можно с известного сайта http://packetstormsecurity.org/0404-exploits/rootme.tar.