Аз съм корен. Разбиране на ескалацията на привилегии на операционната система Linux

Прекарах първото тримесечие на 2020 г. в подготовка за изпита OSCP. Търсенето на информация в Гугъл и много опити на "сляпо" ми отнемаха цялото свободно време. Особено трудно се оказа разбирането на механизмите за увеличаване на привилегиите. Курсът PWK обръща голямо внимание на тази тема, но методическите материали винаги не са достатъчни. В интернет има много ръководства с полезни команди, но аз не съм привърженик на сляпото следване на препоръките, без да разбирам докъде ще доведе това.

Бих искал да споделя с вас какво успях да науча по време на подготовката и успешното преминаване на изпита (включително периодични нападения на Hack The Box). Изпитах дълбоко чувство на благодарност за всяка част от информацията, която ми помогна да вървя по пътя на Try Harder по-осъзнато, сега е моят момент да се отдам на общността.

Искам да ви дам ръководство за ескалация на привилегии в OS Linux, което включва анализ на най-често срещаните вектори и свързани функции, от които определено ще имате нужда. Често самите механизми за ескалация на привилегии са доста прости, възникват трудности при структурирането и анализа на информацията. Затова реших да започна с „обиколка на забележителностите“ и след това да разгледам всеки вектор в отделна статия. Надявам се да ви спестя време за изучаване на темата.

И така, защо ескалацията на привилегиите е възможна дори през 2020 г., ако методите са добре известни от много дълго време? Всъщност, ако потребителят работи правилно със системата, наистина няма да е възможно да се увеличат привилегиите в нея. Основният глобален проблем, който поражда подобни възможности, е несигурна конфигурация. Наличието на остарели софтуерни версии, съдържащи уязвимости в системата, също е частен случай на опасна конфигурация.

Ескалация на привилегии чрез несигурна конфигурация

Първо, нека се справим с несигурната конфигурация. Да започнем с ИТ специалистите често използват ръководства и ресурси като stackoverflow, много от които съдържат опасни команди и конфигурации. Ярък пример е новините че най-често копираният код от stackoverflow съдържа грешка. Опитен администратор ще види джама, но това е в идеалния свят. Дори компетентни професионалисти повишено натоварване способен да прави грешки. Представете си, че администраторът подготвя и одобрява документация за следващия търг, като в същото време се задълбочава в новата технология, която ще бъде въведена през следващото тримесечие, докато периодично решава задачи за поддръжка на потребителите. И тогава му е дадена задача бързо да създаде няколко виртуални машини и да пусне услуги на тях. Как мислите, каква е вероятността администраторът просто да не забележи джам? След това специалистите се сменят, но патериците остават, а компаниите винаги се стремят да минимизират разходите, включително и тези за IT специалисти.

Псевдо черупка и джейлбрейк

Системната обвивка, получена по време на производствената фаза, често е ограничена, особено ако сте я получили чрез хакване на потребител на уеб сървър. Например, ограниченията на обвивката могат да ви попречат да използвате командата sudo с грешка:

sudo: no tty present and no askpass program specified

След като получите обвивка, препоръчвам да създадете пълноценен терминал, например с Python.

python -c 'import pty;pty.spawn("/bin/bash")'

Питате: "Защо са ми нужни хиляда команди, ако мога да използвам една, например, за прехвърляне на файлове?" Факт е, че системите са конфигурирани по различен начин, на следващия хост Python може да не е инсталиран, но Perl може да е наличен. Умението е да можете да правите познати неща в системата без познати инструменти. Можете да намерите пълен списък с функции тук.

Черупка с ниски привилегии може да бъде получена с помощта на отбори 1 и отбори 2 (изненадващо дори GIMP).

Преглед на хронологията на командите

Linux събира история на всички изпълнени команди във файл ~ / .bash_history. Ако сървърът се използва активно и неговата история не е изчистена, има голям шанс идентификационните данни да бъдат намерени в този файл. Изчистването на историята е банално неудобно. Ако администраторът е принуден да избира команди от десет нива чрез, разбира се, ще му бъде по-удобно да извика тази команда от хронологията, отколкото да я въвежда отново. Освен това мнозина не знаят за този "хак". Ако в системата има алтернативни обвивки като Zsh или Fish, те имат своя собствена история. За да покажете хронологията на командите във всяка обвивка, просто въведете хронологията на командите.

cat ~/.bash_history
cat ~/.mysql_history
cat ~/.nano_history
cat ~/.php_history
cat ~/.atftp_history

Има споделен хостинг, при който сървърът се използва за хостване на няколко сайта. Обикновено при тази конфигурация всеки ресурс има свой собствен потребител с отделна начална директория и виртуален хост. Така че, ако е конфигуриран неправилно, можете да намерите файла .bash_history в основната директория на уеб ресурса.

Намиране на пароли във файловата система и атаки на съседни системи

Конфигурационните файлове за различни услуги могат да бъдат прочетени от текущия ви потребител. В тях можете да намерите идентификационни данни в ясен текст - пароли за достъп до базата данни или свързани услуги. Една и съща парола може да се използва както за достъп до базата данни, така и за упълномощаване на root потребител (персонал за идентификационни данни).
Случва се намерените идентификационни данни да принадлежат на услуги на други хостове. Развитието на атака срещу инфраструктурата чрез компрометиран хост не е по-лошо от експлоатацията на други хостове. Съседни системи могат да бъдат намерени и чрез търсене на IP адреси във файловата система.

grep -lRi "password" /home /var/www /var/log 2>/dev/null | sort | uniq #Find string password (no cs) in those directories
grep -a -R -o '[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}' /var/log/ 2>/dev/null | sort -u | uniq #IPs inside logs

Ако компрометираният хост има уеб приложение, достъпно от интернет, по-добре е да изключите неговите регистрационни файлове от търсенето на IP адреси. Адресите на потребителите на ресурси от Интернет е малко вероятно да са ни полезни, но адресите на вътрешната мрежа (172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8) и къде отиват, съдейки по регистрационни файлове, може да представлява интерес.

Sudo

Командата sudo позволява на потребителя да изпълни команда в контекста на root със собствена парола или без изобщо да я използва. Много операции в Linux изискват root привилегии, но работата като root се счита за много лоша практика. Вместо това е по-добре да приложите селективно разрешение за изпълнение на команди в коренния контекст. Въпреки това много инструменти на Linux, включително стандартните като vi, могат да се използват за ескалиране на привилегии по законни начини. За да намерите правилния път, препоръчвам да погледнете тук.

Първото нещо, което трябва да направите, след като получите достъп до системата, е да изпълните командата sudo -l. Той ще покаже разрешение за използване на командата sudo. Ако се получи потребител без парола (като apache или www-data), вектор за ескалация на привилегии sudo е малко вероятен. Когато използвате sudo, системата ще поиска парола. Използването на командата passwd за задаване на парола също няма да работи, тя ще поиска текущата потребителска парола. Но ако sudo все още е наличен, тогава всъщност трябва да потърсите:

• всякакви интерпретатори, всеки може да създаде обвивка (PHP, Python, Perl);
• всякакви текстови редактори (vim, vi, nano);
• всякакви зрители (по-малко, повече);
• всякакви възможности за работа с файловата система (cp, mv);
• инструменти, които имат изход в bash, интерактивно или като изпълнима команда (awk, find, nmap, tcpdump, man, vi, vim, ansible).

Suid/Sgid

Има много ръководства в интернет, които съветват изграждането на всички suid / sgid команди, но рядка статия дава подробности какво да правите с тези програми. Могат да бъдат намерени опции за повишаване на привилегиите, които не вземат предвид използването на експлойти тук. Също така редица изпълними файлове имат специфични уязвимости за версията на ОС, например.

В един идеален свят трябва да стартирате всички инсталирани пакети поне през searchsploit. На практика това трябва да стане с най-популярните програми като sudo. Също така винаги е опция да използвате и поддържате разработването на автоматизирани инструменти, които ще подчертаят интересни, от гледна точка на ескалация на привилегии, изпълними файлове с набор от битове suid/sgid. Ще дам списък с такива инструменти в съответния раздел на статията.

Записваеми скриптове, изпълнявани от Cron или Init в коренния контекст

Cron заданията могат да се изпълняват в контекста на различни потребители, включително root. Ако има задача в cron с връзка към изпълним файл и тя е достъпна за писане, можете лесно да я замените със злонамерена и да извършите ескалация на привилегии. В същото време по подразбиране файловете с cron задачи са достъпни за четене от всеки потребител.

ls -la /etc/cron.d  # show cron jobs 

Подобен е случаят с init. Разликата е, че задачите в cron се изпълняват периодично, а в init - при стартиране на системата. За работа ще трябва да рестартирате системата, докато някои от услугите може да не се повишат (ако не са регистрирани в автоматично зареждане).

ls -la /etc/init.d/  # show init scripts 

Можете също да търсите файлове, които могат да се записват от всеки потребител.

find / -perm -2 -type f 2>/dev/null # find world writable files

Методът е доста добре познат, опитни системни администратори внимателно използват командата chmod. В мрежата обаче по-голямата част от ръководствата описват задаване на максимални права. Подходът „просто го накарай да работи“ на неопитни системни администратори създава възможности за ескалация на привилегиите по принцип. Ако е възможно, най-добре е да погледнете в хронологията на командите за опасни употреби на chmod.

chmod +w /path 
chmod 777 /path

Получаване на достъп до shell за други потребители

Разглеждаме списъка с потребители в /etc/passwd. Обръщаме внимание на тези, които имат черупка. Можете да брутирате тези потребители - възможно е чрез получения потребител в крайна сметка да можете да увеличите привилегиите.

За да подобрите сигурността, препоръчвам ви винаги да се придържате към принципа на най-малко привилегии. Също така има смисъл да отделите време за проверка на несигурни конфигурации, които биха могли да останат след отстраняване на неизправности - това е "техническо задължение" на системния администратор.

Самонаписан код

Струва си да разгледате внимателно изпълнимите файлове в началната директория на потребителя и уеб сървъра (/var/www/, освен ако не е указано друго). Тези файлове могат да се окажат напълно несигурно решение и да съдържат невероятни патерици. Разбира се, ако имате някаква рамка в директорията на вашия уеб сървър, няма смисъл да търсите zero-day в нея като част от пентест, но се препоръчва да намерите и проучите персонализирани модификации, плъгини и компоненти.

За да увеличите сигурността, по-добре е да избягвате използването на идентификационни данни в самонаписани скриптове, както и потенциално опасни функции, като четене на /etc/shadow или манипулиране на id_rsa, ако е възможно.

Повишаване на привилегии чрез използване на уязвимости

Преди да се опитате да повишите привилегиите чрез експлоатация, е важно да разберете прехвърляне на файлове към целевия хост. В допълнение към обичайните инструменти като ssh, ftp, http (wget, curl), има цяло "зоопарк" от възможности.

За да подобрите сигурността на вашата система, актуализирайте я редовно до най-новата версия стабилен версии, а също така се опитайте да използвате дистрибуции, предназначени за Enterprise. Иначе рядко, но има ситуации, когато подходящото надграждане прави системата неизползваема.

Използване на услуги, изпълнявани в контекста на root потребителя

Някои услуги на Linux работят като root на привилегирован потребител. Те могат да бъдат намерени с помощта на ps aux | корен на grep. В този случай услугата може да не бъде обявена в мрежата и да бъде достъпна локално. Ако има публични експлойти, те могат безопасно да се използват: сривът на услугата в случай на повреда е много по-малко критичен от срива на ОС.

ps -aux | grep root # Linux

Най-успешният случай може да се счита за работата на хакната услуга в контекста на root потребителя. Работата с услугата SMB дава на SYSTEM привилегирован достъп на Windows системи (напр. чрез ms17-010). Това обаче не е обичайно за Linux системите, така че можете да отделите много време за ескалация на привилегии.

Използване на уязвимости на ядрото на Linux

Това е последният път, по който трябва да се тръгне. Неуспешната операция може да доведе до срив на системата и в случай на рестартиране някои услуги (включително тези, чрез които е възможно да се получи оригиналната обвивка) може да не се повишат. Случва се администраторът просто да е забравил да използва командата systemctl enable. Освен това ще предизвика много недоволство от работата ви, ако експлоатацията не е договорена.
Ако решите да използвате източниците от exploitdb, не забравяйте да прочетете коментарите в началото на скрипта. Наред с други неща, обикновено се казва как да се компилира правилно този експлойт. Ако сте били твърде мързеливи или имате нужда от „вчера“ поради крайни срокове, можете да потърсите хранилища с вече компилирани експлойти, например. Трябва обаче да се разбере, че в този случай ще получите прасе в джоба. От друга страна, ако един програмист разбира до байт как работи един компютър и софтуера, който използва, той не би написал нито ред код през целия си живот.

cat /proc/version
uname -a
searchsploit "Linux Kernel" 

Metasploit

За да хванете и обработите връзка, винаги е по-добре да използвате модула exploit/multi/handler. Основното нещо е да зададете правилния полезен товар, например generic/shell/reverce_tcp или generic/shell/bind_tcp. Обвивката, получена в Metasploit, може да бъде надстроена до Meterpreter с помощта на модула post/multi/manage/shell_to_meterpreter. С Meterpreter можете да автоматизирате процеса след експлоатацията. Например модулът post/multi/recon/local_exploit_suggester проверява платформата, архитектурата и обектите, които могат да се използват, и предлага модули Metasploit за ескалация на привилегии в целевата система. Благодарение на Meterpreter, ескалацията на привилегиите понякога се свежда до стартиране на правилния модул, но хакване без разбиране на случващото се под капака не е вярно (все пак трябва да напишете доклад).

Инструменти

Инструментите за автоматизиране на локалното събиране на информация ще ви спестят много усилия и време, но сами по себе си не са в състояние напълно да идентифицират пътя за ескалация на привилегиите, особено в случай на използване на уязвимости на ядрото. Инструментите за автоматизация ще изпълняват всички необходими команди, за да съберете информация за системата, но също така е важно да можете да анализирам получени данни. Надявам се моята статия да ви бъде полезна в това отношение. Разбира се, има много повече инструменти, отколкото ще изброя по-долу, но всички те правят приблизително едно и също нещо - по-скоро е въпрос на вкус.

Лин грах

Доста свеж инструмент, първият ангажимент е от януари 2019 г. В момента любимият ми инструмент. Изводът е, че той подчертава най-интересните вектори за ескалация на привилегии. Съгласете се, по-удобно е да получите експертна оценка на това ниво, отколкото да анализирате монолитни необработени данни.

LinEnum

Вторият ми любим инструмент, той също събира и организира данните, получени в резултат на локално изброяване.

linux-exploit-suggester(1,2)

Този експлойт ще анализира системата за подходящи условия за експлойти. Всъщност той ще върши работа, идентична с модула Metasploit local_exploit_suggester, но ще предлага връзки към изходните кодове на exploit-db, а не към модулите Metasploit.

Linuxprivchecker

Този скрипт ще събере и организира по секции голямо количество информация, която може да бъде полезна за формирането на вектор за ескалация на привилегии.

Друг път ще уточня Ескалация на привилегии на Linux чрез suid/sgid.

Източник: www.habr.com