Kiddy — модул на ядрото на Linux за защита от скрипт-кидди

Kiddy – модул за ядрото на Linux, разработен с цел намаляване на рисковете от експлоатация (на някои) уязвимости на ядрото.

В основата на механизма за защита, реализиран в този модул, стои простата идея, че по време на атака по един или друг начин се извършва идентификация на обекта на атаката. Следователно, ако затрудним такава идентификация, можем многократно да увеличим трудността на експлоатацията, тъй като в много случаи готовите експлойти съдържат таблици от различни видове офсети, съответстващи на целевите версии на ядрото.

Например, ето как е направено за CVE-2017-1000112. Там също може да се види, че идентификацията на версията на ядрото се осъществява с помощта на uname.

Разработеният модул е прост за реализиране и позволява:

• да променя идентификацията на ядрото;
• да ограничава достъпа до ядрения журнал (dmesg);
• да ограничава достъпа до някои файлове в /proc, които също съдържат идентифицираща информация;
• да ограничава достъпа до файлове и папки, потенциално съдържащи идентифицираща информация;
• да променя идентификацията на версията на ядрото, достъпна чрез vDSO.

По време на сборката модулът позволява използването на т.н. „пресети“, които реализират различна логика за промяна на идентификацията. Например, използвайки пресет „windows“, можем да получим следното поведение:

Преди зареждането на модула

$ ./misc/id.sh ** UNAME идентификационни течове — uname -r 2.6.32-754.35.1.el6.x86_64 — uname -v #1 SMP събота 7 ноември 12:42:14 UTC 2020 — uname -a Linux localhost.localdomain 2.6.32-754.35.1.el6.x86_64 #1 SMP събота 7 ноември 12:42:14 UTC 2020 x86_64 x86_64 x86_64 GNU/Linux ** PROCFS идентификационни течове — /proc/cmdline ro root=/dev/mapper/VolGroup00-LogVol00 rd_NO_LUKS no_timer_check console=tty0 console=ttyS0,115200n8 net.ifnames=0 biosdevname=0 LANG=en_US.UTF-8 rd_NO_MD SYSFONT=latarcyrheb-sun16 rd_LVM_LV=VolGroup00/LogVol01 rd_LVM_LV=VolGroup00/LogVol00 KEYBOARDTYPE=pc KEYTABLE=us rd_NO_DM rhgb quiet — /proc/version Linux версия 2.6.32-754.35.1.el6.x86_64 (mockbuild@x86-02.bsys.centos.org) (gcc версия 4.4.7 20120313 (Red Hat 4.4.7-23) (GCC)) #1 SMP събота 7 ноември 12:42:14 UTC 2020 — /proc/sys/kernel/version #1 SMP събота 7 ноември 12:42:14 UTC 2020 — /proc/sys/kernel/osrelease 2.6.32-754.35.1.el6.x86_64 which: no hostnamectl в (/usr/local/bin:/bin:/usr/bin:/usr/local/sbin:/usr/sbin:/sbin:/home/vagrant/bin)

След зареждането на модула

$ ./misc/id.sh ** UNAME идентификационни течове — uname -r Windows — uname -v NT 4.0 — uname -a Linux localhost.localdomain Windows NT 4.0 x86_64 x86_64 x86_64 GNU/Linux ** PROCFS идентификационни течове — /proc/cmdline EFIMicrosoftBootbootmgfw.efi — /proc/version Windows NT 4.0 — /proc/sys/kernel/version NT 4.0 — /proc/sys/kernel/osrelease Windows which: no hostnamectl в (/usr/local/bin:/bin:/usr/bin:/usr/local/sbin:/usr/sbin:/sbin:/home/vagrant/bin)

Скриптът-кидди няма да премине!

Източник: linux.org.ru