# 🕵️ Privesc Forensika: Real Vektorni Toping ## Vaziyat `ledgersvc` — `ldg-app-03` serverida ishlaydigan ichki hisob-kitob mikroservisining texnik xizmat hisobi (service account). Ushbu hisob orqali cheklangan shell qo'lga kiritilgan (qanday qilib — bu topshiriqning mavzusi emas). Sizning vazifangiz — **post-exploitation tahlilchi** sifatida ishlash: quyida keltirilgan statik forensik ma'lumotlar (jonli serverga ulanish YO'Q) asosida, ushbu foydalanuvchidan **root**ga o'tishning qaysi yo'li haqiqatan ishlashini aniqlash. Quyida to'rtta klassik privesc (privilege escalation) vektori bo'yicha xom (raw) ma'lumot berilgan: **sudo -l**, **SUID/SGID binarylar**, **cron vazifalari** va **Linux capabilities**. Bularning **faqat bittasi** — hech qanday qo'shimcha shart-sharoit, parol yoki kutishsiz — darhol va to'liq **root (uid=0)** huquqini beradi. Qolgan uchtasi diqqatli tahlilchi uchun professional "yem" (decoy) — ular yoki umuman ishlamaydi, yoki ishlasa ham root bermaydi. Vazifangiz — GTFOBins (https://gtfobins.github.io) dan foydalanib, har bir vektorni texnik jihatdan tekshirish va noto'g'ri xulosalarni rad etish. > ⚠️ **Live muhit yo'q.** Barcha javoblar faqat pastdagi matndan chiqariladi. Hech qanday tashqi server bilan bog'lanish shart emas va imkonsiz. --- ## 📋 1. Umumiy kontekst ```bash $ id uid=1000(ledgersvc) gid=1000(ledgersvc) groups=1000(ledgersvc) $ uname -a Linux ldg-app-03 5.15.0-91-generic #101-Ubuntu SMP x86_64 GNU/Linux $ hostname -I 10.20.4.17 ``` --- ## 📋 2. `sudo -l` natijasi ```text $ sudo -l Matching Defaults entries for ledgersvc on ldg-app-03: env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin User ledgersvc may run the following commands on ldg-app-03: (root) NOPASSWD: /usr/bin/systemctl restart nginx.service (root) NOPASSWD: /usr/bin/systemctl restart php8.1-fpm.service ``` --- ## 📋 3. SUID/SGID binary ro'yxati ```text $ find / -xdev -perm -4000 -type f 2>/dev/null -exec ls -la {} \; -rwsr-xr-x 1 root root 92688 Feb 14 2024 /usr/bin/sudo -rwsr-xr-x 1 root root 52344 Feb 14 2024 /usr/bin/su -rwsr-xr-x 1 root root 68208 Jan 09 2024 /usr/bin/passwd -rwsr-xr-x 1 root root 44528 Jan 09 2024 /usr/bin/chsh -rwsr-xr-x 1 root root 44240 Jan 09 2024 /usr/bin/chfn -rwsr-xr-x 1 root root 40344 Jan 09 2024 /usr/bin/gpasswd -rwsr-xr-x 1 root root 35864 Jan 09 2024 /usr/bin/newgrp -rwsr-xr-x 1 root root 47032 Nov 22 2023 /usr/bin/mount -rwsr-xr-x 1 root root 27608 Nov 22 2023 /usr/bin/umount -rwsr-xr-x 1 svcbackup svcbackup 918304 May 19 2025 /opt/backup/legacy_report ``` Qo'shimcha tekshiruvlar (oxirgi qatordagi nostandart binary bo'yicha): ```text $ id svcbackup uid=1001(svcbackup) gid=1001(svcbackup) groups=1001(svcbackup) $ sudo -l -U svcbackup User svcbackup is not allowed to run sudo on ldg-app-03. $ cat /etc/fstab | grep -v '^#' | grep -v '^$' UUID=8f2b6e2a-11aa-4e3d-9d0a-6c1a2b7e0a11 / ext4 defaults 0 1 UUID=1a3c9f0b-22bb-4f1e-8e1b-7d2b3c8f1b22 /boot ext4 defaults 0 2 ``` --- ## 📋 4. Cron vazifalari ```text $ crontab -l -u ledgersvc no crontab for ledgersvc $ cat /etc/cron.d/app-maintenance SHELL=/bin/sh PATH=/usr/bin:/bin */5 * * * * root /opt/maintenance/cleanup.sh >> /var/log/maintenance.log 2>&1 $ ls -la /etc/cron.d/app-maintenance -rw-r--r-- 1 root root 118 Jun 02 2025 /etc/cron.d/app-maintenance $ ls -la /opt/maintenance/ drwxr-xr-x 2 root root 4096 Jun 02 2025 . drwxr-xr-x 6 root root 4096 Jun 02 2025 .. -rwxr-xr-x 1 root root 612 Jun 02 2025 cleanup.sh $ cat /opt/maintenance/cleanup.sh #!/bin/bash find /tmp -type f -mmin +60 -delete find /var/tmp -type f -mmin +60 -delete logger "cleanup.sh executed" ``` --- ## 📋 5. Linux Capabilities ```text $ getcap -r / 2>/dev/null /usr/bin/ping = cap_net_raw+ep /usr/lib/x86_64-linux-gnu/mtr-packet = cap_net_raw+ep /usr/bin/python3.9 = cap_setuid+ep $ ls -la /usr/bin/python3.9 -rwxr-xr-x 1 root root 5493184 Apr 11 2025 /usr/bin/python3.9 $ dpkg -S /usr/bin/python3.9 dpkg-query: no path found matching pattern /usr/bin/python3.9 ``` **DevOps jamoasi izohi (ichki ticket #4471, 2025-04-11):** > "`legacy-automation` skripti uchun standart bilan kelmagan alohida Python 3.9 (deadsnakes PPA orqali) qo'lda o'rnatildi. Skript ba'zan root sifatida ishga tushirilishi kerak edi, shu sababli interpretatorga qo'shimcha imtiyoz berildi. Keyinchalik ushbu talab bekor qilingan, lekin konfiguratsiya orqaga qaytarilmagan." --- ## 🎯 Vazifa (3 bosqich) ### Bosqich 1 — Real vektorni aniqlash (100 ball) Yuqoridagi to'rtta artefaktni (sudo, SUID, cron, capabilities) mustaqil ravishda tekshiring. Har biri uchun o'zingizga savol bering: *"Bu vektor orqali hech qanday qo'shimcha ma'lumot yoki shart-sharoitsiz, hozirgi holatda, to'g'ridan-to'g'ri root bo'lish mumkinmi?"* Faqat **BITTASI** — ha javobini beradi. O'sha vektordagi zaif binary faylining **aynan artefaktda ko'rsatilgandek to'liq absolyut yo'lini** toping va quyidagi qoida bo'yicha flag qiling: **Normalizatsiya qoidasi (qadam-baqadam bajaring):** 1. Yo'lni kichik harflarga o'tkazing (odatda allaqachon kichik harf). 2. Boshidagi `/` belgisini olib tashlang. 3. Qolgan barcha `/` belgilarini `_` ga almashtiring. 4. Lotin harflari (`a-z`), raqamlar (`0-9`) va `_` dan BOSHQA barcha belgilarni (nuqta, tire va h.k.) — almashtirmasdan, shunchaki — olib tashlang. **Namuna (bu real javob emas, faqat usulni ko'rsatish uchun):** yo'l `/opt/demo/tool-1.2.sh` bo'lsa: 1—3-qadamdan keyin `opt_demo_tool-1.2.sh`, 4-qadamdan keyin (`.` va `-` olib tashlanadi) → `opt_demo_tool12sh`. Flag: `HN{normallashtirilgan_yol}` ### Bosqich 2 — Ikkilamchi iz: SUID egasini tekshirish (80 ball) SUID ro'yxatida standart tizim dasturlaridan tashqari, nostandart joyda (`/opt/...`) joylashgan bitta maxsus binary bor. Uni GTFOBins uslubida ishlatib bo'lsa ham, `ls -la` chiqishidagi **egasi (owner, 3-ustun)** ustuniga qarang: bu binary orqali eng yuqori olinishi mumkin bo'lgan imtiyoz aslida **root emas**. O'sha binaryning egasi bo'lgan foydalanuvchi nomini flag qiling: `HN{foydalanuvchi_nomi}` ### Bosqich 3 — Exploit zanjirini tasdiqlash (120 ball, asosiy flag) Endi 1-bosqichda aniqlagan **ORIGINAL** (normalizatsiya qilinmagan, ya'ni boshida `/` bilan, nuqtalar bilan — artefaktda yozilgandek) binary yo'lini oling. Shu binaryga tegishli `getcap` chiqishida ko'rsatilgan **capability nomini** oling (masalan, `cap_setuid` — `+ep` qismisiz, faqat capability nomining o'zi). Quyidagi qatorni tuzing (ikkovi orasida bitta `:` belgisi, boshqa hech qanday bo'shliq yo'q): ``` flag_input = ":" ``` Ushbu qatorning **SHA256** xeshini hisoblang va hex ko'rinishining **birinchi 24 ta belgisini** oling: ``` flag = HN{ SHA256(flag_input) ning birinchi 24 hex belgisi } ``` **Tekshirish uchun namuna (bu real javob emas!):** agar binary yo'li `/usr/bin/foo` va capability `cap_dac_override` bo'lganda edi: ```python import hashlib flag_input = "/usr/bin/foo:cap_dac_override" hashlib.sha256(flag_input.encode()).hexdigest()[:24] # natija: 031963e2ff186a08402a8c3a ``` Terminalda tekshirish (natija bir xil chiqishi kerak — bu faqat usulni tasdiqlash uchun namuna): ```bash printf '%s' "/usr/bin/foo:cap_dac_override" | sha256sum ``` > ⚠️ **Diqqat:** qatorni hashlashda oxirida yangi qator (`\n`) belgisi BO'LMASLIGI kerak. `echo -n` yoki `printf '%s'` ishlating — oddiy `echo` yoki fayl oxiridagi bo'sh qator hashni buzadi. Yuqoridagi namunani o'zingizning python/bash muhitingizda qayta ishga tushirib, xuddi shu natijani (`031963e2ff186a08402a8c3a`) olishingizni tekshiring — shundan keyin xuddi shu usulni haqiqiy (1-bosqichda topilgan) qiymatlarga qo'llang. --- ## 🚩 Flag topshirish Bu **ko'p bosqichli (multi-flag)** topshiriq — har bosqich alohida `HN{...}` formatida flag talab qiladi va mustaqil baholanadi. --- ## 💡 Maslahatlar

Maslahat 1 (metodologiya)

Har bir vektorni GTFOBins mantig'i bilan emas, avval **"bu buyruq/fayl umuman ishga tushirilishi mumkinmi va NOPASSWD/exec huquqi bormi"** nuqtai nazaridan tekshiring. `sudo -l` da argument aniq belgilangan (wildcard yo'q) bo'lsa, siz faqat aynan o'sha argument bilan chaqira olasiz — qo'shimcha parametr qo'sha olmaysiz.

Maslahat 2 (SUID ustunlar)

`ls -la` natijasidagi ustunlar tartibi: ruxsatlar, link soni, **egasi (owner)**, guruh, hajm, sana, fayl nomi. SUID bayrog'i (`s` harfi) faqat "dastur kimning nomidan ishlaydi"ni belgilaydi — bu "**kim**" ekanini bilish uchun 3-ustunga (egasi) qarash kerak, `root root` bo'lmagan qatorlarga alohida e'tibor bering.

Maslahat 3 (capabilities)

GTFOBins saytida har bir binary uchun bir nechta funksiya (Sudo, SUID, Capabilities, Shell va h.k.) alohida ko'rsatiladi — ular bir-biridan farq qiladi. `cap_setuid+ep` capabilitysi berilgan binary uchun aynan **"Capabilities"** bo'limidagi texnikani qidiring (SUID bo'limidagi texnika bilan aralashtirmang — ular boshqacha ishlaydi). `getcap` chiqishida `cap_net_raw` bilan `cap_setuid` bir xil emas — faqat biri foydalanuvchini o'zgartirish imkonini beradi.

--- ## 📚 Foydali resurslar - GTFOBins: https://gtfobins.github.io — sudo / SUID / Capabilities orqali privesc texnikalari bazasi - `man 7 capabilities` — Linux capabilities tizimi haqida - `man sudoers` — sudo argument matching qoidalari (wildcard va aniq mos kelish farqi)

Privesc Forensika: Real Vektorni Toping

Bosqichlar

Real vektorni aniqlash

Ikkilamchi iz: SUID egasini tekshirish

Exploit zanjirini tasdiqlash