Eseguibili con il bit SUID
La Tipografia Rotonda & C. non controlla i permessi dei suoi programmi dal 2023. Elenca i programmi che girano con i privilegi di root a prescindere da chi li lancia, trova quello che non dovrebbe esserci e guarda cosa fa.
Laboratorio 3 di 5 del percorso Privilege Escalation. Se ti blocchi hai 3 aiuti, dal più vago al più preciso: costano 0, 50 e 150 XP.
Cosa impari
Gli obiettivi si completano da soli mentre lavori nel terminale; ognuno vale punti esperienza:
- Elencare i programmi con il bit SUID (150 XP)
- Confrontare con la lista standard in audit/suid-standard.txt (100 XP)
- Lanciare il programma non standard e vedere con quali privilegi gira (200 XP)
Argomenti: privesc, suid, audit.
I comandi che userai
Il terminale è simulato e capisce una quarantina di comandi Linux. In questo laboratorio ti servono soprattutto questi:
find: cerca file per nome, tipo o permessi in tutto un albero di cartelle; in un audit scova chiavi, copie dimenticate e programmi con permessi pericolosi.cat: stampa il contenuto di un file: il modo più diretto di leggere configurazioni, note e registri.file: riconosce che tipo di file hai davanti (testo, eseguibile, immagine) guardando il contenuto, non il nome.
L'ambiente simulato
Lavori su una shell Linux simulata, nella home dell'utente runner: file e cartelle inventati, nessun bersaglio in rete.
Oltre alla home c'è un sistema simulato completo, con file di configurazione, registri, utenti e permessi da esaminare.
La lezione di difesa
A laboratorio risolto, il writeup spiega cosa è andato storto e come ci si protegge:
Il bit SUID fa girare un programma con i privilegi del suo proprietario, chiunque lo lanci: serve a passwd o a sudo, ma ogni SUID in più è un pezzo di root a disposizione di tutti, soprattutto se legge file riservati. Lezione difensiva: audit periodico (find / -perm -4000 confrontato con una baseline), togliere il bit dove non serve (chmod u-s), usare sudo con regole mirate al posto di programmi SUID fatti in casa e montare con nosuid le partizioni che non ne hanno bisogno.
Prima e dopo questo laboratorio
Per aprirlo devi aver risolto:
- Chi sono e cosa posso fare? (Privilege Escalation, medio)
- Trovare i file (Fondamenti Linux, medio)
Dopo questo laboratorio puoi passare a:
- Audit sudo e SUID (Privilege Escalation, difficile)
- Risposta a un incidente (Blue Team / Difesa, difficile)
Il percorso Privilege Escalation
Privilege Escalation qui è un percorso di audit: sei su un server come utente normale e controlli se qualche configurazione sbagliata permette di ottenere più privilegi del dovuto. Esamini le regole sudo, i programmi con il bit SUID, le credenziali dimenticate nella cronologia e nei file, i segreti passati come argomenti dei processi. Sono gli stessi controlli che fa chi mette in sicurezza un sistema, e ogni laboratorio finisce con il principio che li riassume tutti: privilegio minimo.