Discussion :

[al1_24]

Bonjour,

Je travaille depuis quelques semaines dans un environnement RHEL, que je connais mal.
J'aurais besoin de la commande su ou sudo pour créer un répertoire et quelques liens mais celle-ci ne fonctionne pas sur ce serveur.
La dernière fois que j'en ai eu besoin, mon collègue (qui est en vacances pour deux semaines encore) m'a indiqué une autre commande, selon lui propre à Red Hat, mais dont je n'ai pas retenu le nom
Quelqu'un la connaitrait ?

[supersnail]

Bonjour,

C'est une RHEL "standard" ou trafiquée par la boîte, parce que bon un système sans "su" c'est quand-même pas courant Sinon c'est quelle version de RHEL ?

Après y'a peut-être moyen avec PolKit/PolicyKit...

[Sve@r]

Bonjour

Voici un clone minimaliste de la commande su

Code c :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
#include <stdio.h>
 
int main()
{
    setuid(0);
    setgid(0);
    execl("/bin/sh", "sh", NULL);
}

En tant que root tu compiles ce code dans un fichier "mysu", tu lui mets les droits "chmod 4111 mysu" et ensuite quiconque exécutera ce programme "mysu" aura un shell en tant que root qu'il pourra quitter par <ctrl-d>.

Après tu peux affiner, lui demander par exemple de vérifier si l'utilisateur qui exécute ce code est bien référencé dans un fichier particulier mais là c'est déjà un point de départ fonctionnel...

[BufferBob]

Voici un clone minimaliste de la commande su

Code c :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
#include <stdio.h>
 
int main()
{
    setuid(0);
    setgid(0);
    execl("/bin/sh", "sh", NULL);
}

hem... sans authentification à l'entrée perso j'appellerai plutôt ça une backdoor

[Flodelarab]

Et "su", c'est pas une backdoor ?

[BufferBob]

Et "su", c'est pas une backdoor ?

ben ça dépend ce que t'appelles backdoor après mais plutôt non, su c'est le moyen légitime (fourni par le système) et contrôlé d'élever ses privilèges

[al1_24]

Dans l'immédiat, backdoor ou pas, je n'ai plus qu'à attendre le retour de mon collègue pour connaître la commande à utiliser. Sans doute une commande "spécifique à la boite" comme le suposait supersnail.
su et sudo sont bien installés mais je ne suis pas dans la liste des sudoers...

[BufferBob]

tu as tenté un find / -perm +4000 (ou +2000 pour les binaires sgid) ? sait-on jamais des fois que tu vois passer un truc...

[disedorgue]

Bonjour,

Moui..., une commande caché (backdoor)
Un autre style dans le genre, un ssh lancer depuis la machine locale avec une clé spéciale...

Tu as aussi essayé de voir dans l'history pour retrouver la commande (bon, faut quand même que tu ais l'accès au dit compte depuis lequel il a lancer la commande).

[BufferBob]

Moui..., une commande caché (backdoor)

même sans dire qu'elle soit cachée ou qu'il s'agisse d'une backdoor, s'il y a un programme sur son système qui permet d'escalader les privilèges c'est obligatoirement un binaire s{u,g}id, donc des fois qu'il le retrouve en voyant la liste

[Sve@r]

tu as tenté un find / -perm +4000

Je crois que c'est "-perm -4000" pour avoir les fichiers ayant "au-moins" le droit suid positionné. Et en rajoutant un "-type f" on accèlère la recherche (inutile en effet de chercher des pipes éventuels ayant un setuid ). Et comme on ne veut que les root (parce que le programme de tartempion qui autorise sa concierge à consulter sa messagerie via un binaire avec un suid à son nom on s'en bat un peu les oreilles ) on rajoute un "-uid 0". Et en mettant en final un "2>/dev/null" on évite les inévitables messages de find quand il vient pleurer sa mère parce qu'il n'a pas accès à certains dossiers

Ce qui donne un bien plus élégant find / -type f -uid 0 -perm -4000 -print 2>/dev/null...

[disedorgue]

Pas mal, mais si on continue un peu la réflexion: on a moins de chance de rencontrer un -perm -4000 qu'un -type f, après le -uid 0, ça se discute...
Donc, la question que je me pose avec find, c'est qu'il execute ces paramètre séquentiellement, et si c'est le cas, vérifier le -perm -4000 avant le -type f devrait être sensiblement plus rapide ???

[BufferBob]

Je crois que c'est "-perm -4000" pour avoir les fichiers ayant "au-moins" le droit suid positionné.

en fait le man de find explique que :

• -perm -mode tous les bits sélectionnés doivent être positionnés
• -perm /mode n'importe lequel des bits sélectionnés doit être positionné
• -perm +mode est deprecated et correspond dans sa logique à -perm /mode

donc en clair ça fait un brin que j'avais pas ouvert le man
si on veut chercher d'un coup les binaires suid *et* sgid il convient donc de faire un -perm /6000
au delà et pour l'astuce je t'échange ton >2/dev/null contre un ! path "/proc*" qui reviendra exactement au même

la question que je me pose avec find, c'est qu'il execute ces paramètre séquentiellement, et si c'est le cas, vérifier le -perm -4000 avant le -type f devrait être sensiblement plus rapide ???

en toute logique je pense qu'il fait un stat() sur le fichier et récupère la structure avec à la fois l'info fichier/directory et à la fois les permissions (les deux sont dans le même champs st_mode en plus), donc ça accélère pas tant le traitement mais ça permet surtout d'éliminer les devices et autres fichiers spéciaux de l'output comme disait Sve@r
(par contre pour le coup faire des exclusions avec ! path /répertoire_datas/volumineux_et_non_pertinent* en revanche est susceptible d'améliorer les perfs)

[al1_24]

Merci à tous pour vos réponses.
Grace à vos propositions j'ai fini par retrouver la commande qui semble ne pas être spécifique à RHEL mais au système de supervision installé sur les serveurs.
Et j'ai pu débloquer le problème que je rencontrais

[Sve@r]

je n'ai plus qu'à attendre le retour de mon collègue...

Et j'ai pu débloquer le problème que je rencontrais

Mouais. En d'autres termes, tu as réussi à hacker la machine de ton pote
Merci le fofo