存档

文章标签 ‘linux本地提权’

近期linux glibc localroot exploit和Invalid cross-device link错误

2010年11月14日 5 条评论

最近有人爆了linux glic的一个localroot exp http://www.exploit-db.com/exploits/15274/  ,cve-2010-3847 。在之前一段时间,陆续有黑客找我抗议,说我老在cnbeta上发修复localroot的文章对他们的饭碗影响较大,要求我在cnbeta上八卦的不要那么及时。加上近期素包子确实也异常的忙碌,这次的glibc localroot我就没去cnbeta八卦,所以圈子外的人知道这个glibc localroot的童鞋还不多。

想必各位童鞋在利用该exp进行渗透测试的时候会遇到不少问题。我也八几句,这个exp不是遇到rhel5就能打的,有一定的前提条件,最关键的就是exp和suid程序不能跨文件系统。如果你们遇到了Invalid cross-device link的错误信息,原因是该exp需要建立硬链接,而硬链接不允许跨文件系统。下列的分区方法就是跨文件系统的示例:

  阅读全文…

Linux入侵防御经验一则

2010年2月10日 3 条评论

还是继续那个耐人寻味的64位+fc3+2.6.24内核提权,在折腾的过程中,发现这哥们的sysctl.conf里有这么几行

# prevent Linux Kernel ‘sock_sendpage()’ NULL Pointer Dereference Vulnerability
vm.mmap_min_addr = 4096

我在这边配置一个和他那边完全一样的环境,依然是可以顺利提权成功的,但是到了他那边,则返回mmap: Permission denied,不知道Y搞了啥,不倒腾了,春节后再见。

我不知道为什么会出现这个现象,但由此可见通过一些捷径修复安全漏洞或许有时候不一定稳妥。捷径作为短期的缓解方案是可以的,但是随着expliot技术的提高,出现其他牛X的exp能绕过这一防护也不是不可能的事。比如极光IE 0day,一开始是无法攻击WIN7 IE8用户的,但JIT的那个PAPER一出,同样也是可以搞定的。看图说话:

linux入侵检测经验一则

2010年2月9日 1 条评论

今天在折腾64位linux localroot本地提权exp的时候,发现成功提权之后(具体哪个exp有兴趣的同学自己去验证),dmesg信息里会出现PPP generic driver version 2.4.2这条信息。如果你知道这个信息本应该在啥时候出现的话,就可以判断在一个生产系统里出现这个信息绝大多数是异常的。另外在提权失败的时候,还会有一些其他印迹。

HIDS的设计需要足够灵活以加入这个逻辑。

搞嘿嘿同学们也注意了,擦脚印得擦的干净些,清理dmesg的命令是dmesg -c,得到root之后才有权限  :)

h00lyshit的利用方法

2009年12月13日 评论已被关闭

这个是2.6的一个local root exp,利用这个exp需要一个大文件。

1、dd if=/dev/zero of=/tmp/.test count=1024000 bs=1024,

2、./h00lyshit /tmp/.test