Аз съм root. Разбираме за повишаване на привилегиите в OS Linux

Първото тримесечие на 2020 година прекарах в подготовка за изпита OSCP. Търсенето на информация в Google и многото „сляпи“ опити отнемаха всичкото ми свободно време. Особено трудно се оказа да се разберат механизмите за повишаване на привилегиите. Курсът PWK отделя голямо внимание на тази тема, но методичните материали винаги са недостатъчни. В интернет има куп маниали с полезни команди, но аз не съм привърженик на сляпото следване на препоръки без разбиране на това, до което води.

Искам да споделя с вас онова, което успях да узная по време на подготовката и успешната сдача на изпита (включително периодичните набези на Hack The Box). Изпитвах силно чувство на благодарност за всяка частица информация, която ми помогна да премина пътя Try Harder по-осъзнато, сега е моят момент да отдам дължимото на общността.

Искам да ви дам маниал за повишаване на привилегиите в OS Linux, включващ анализ на най-честите вектори и свързани трикове, които задължително ще ви бъдат от полза. Често самите механизми за повишаване на привилегиите са относително прости, трудностите възникват при структурирането и анализа на информацията. Затова реших да започна с „обзорна екскурзия“ и след това да разглеждам всеки вектор в отделна статия. Надявам се да спестя време при изучаването на темата.

И така, защо повишаването на привилегиите въобще е възможно през 2020 година, ако методите са добре познати отдавна? Всъщност, при правилно боравене на потребителя със системата, наистина няма да е възможно да се повишат привилегиите в нея. Основната глобална проблема, която предизвиква такива възможности, се състои в небезопасната конфигурация. Наличието в системата на остарели версии на софтуер, съдържащи уязвимости, също е частен случай на небезопасна конфигурация.

Повишаване на привилегиите чрез небезопасна конфигурация

На първо място, нека да се разберем с небезопасната конфигурация. Нека започнем с това, че ИТ специалистите често използват маниали и ресурси като stackoverflow, много от които съдържат небезопасни команди и конфигурации. Ясен пример е новина във връзка с това, че най-копираният код от stackoverflow е съдържал грешка. Опитният администратор ще види проблема, но това е в идеалния свят. Дори компетентни специалисти при повишена работна натовареност Могат да допускат грешки. Представете си, че администраторът се занимава с подготовка и одобрение на документация за поредния търг, паралелно се запознава с новата технология, която трябва да бъде внедрена през следващото тримесечие, а същевременно периодично решава задачи по поддръжка на потребители. И изведнъж му спуска задача да повдигне бързо няколко виртуални машини и да разпространи на тях услугите. Как смятате, каква е вероятността администраторът просто да не забележи грешката? После специалистите се сменят, а импровизациите остават, при това компаниите винаги се стремят да минимизират разходите, включително и за ИТ специалисти.

Псевдоконзола и jailbreak

Системната конзола, получена на етап експлоатация, често е ограничена, особено ако я сте получили чрез хакване на потребителя на уеб-сървъра. Например, ограниченията на конзолата може да затруднят изпълнението на команда sudo с изходна грешка:

sudo: no tty present and no askpass program specified

След получаването на конзолата, препоръчвам да създадете пълноценен терминал, например с помощта на Python.

python -c 'import pty;pty.spawn("/bin/bash")'

Вие ще попитате: «Защо ми трябват хиляда команди, ако мога да използвам една, например за прехвърляне на файлове?» Въпросът е, че системите могат да бъдат конфигурирани по различен начин, на определен хост може да няма инсталиран Python, но да има Perl. Мъдростта е в възможността да правите в системата познатите неща без обичайните инструменти. Пълният списък с възможности може да се намери тук.

Нископривилегирована конзола може да бъде получена, използвайки команди 1 и команди 2 (изненадващо, дори GIMP).

Преглед на историята на командите

Linux събира историята на всички изпълнени команди в файла ~/.bash_history. Ако сървърът активно се ползва и историята му не се почиства, има голяма вероятност в този файл да се намерят потребителски данни. Почистването на историята е просто неудобно. Ако администраторът е принуден да избира десетте най-дълги команди, разбира се, му е по-удобно да извика тази команда от историята, отколкото да я въвежда отново. Плюс много хора не знаят за този «хак». Ако в системата има алтернативни обвивки като Zsh или Fish, те водят своя собствена история. За да извлечете историята на командите в която и да е обвивка, е достатъчно да напишете командата history.

cat ~/.bash_history
cat ~/.mysql_history
cat ~/.nano_history
cat ~/.php_history
cat ~/.atftp_history

Съществува споделен хостинг, при който сървърът се използва за хостинг на няколко уебсайта. Обикновено при такава конфигурация за всеки ресурс се създава своя потребител с отделна домашна директория и виртуален хост. Така че, при неправилна настройка в кореновата директория на уеб ресурса може да откриете файл .bash_history.

Търсене на пароли в файловата система и атаки на съседни системи

Конфигурационните файлове на различни услуги могат да бъдат достъпни за четене от вашия текущ потребител. В тях можете да срещнете удостоверения на открито — пароли за достъп до база данни или съседни услуги. Една и съща парола може да се използва както за достъп до базата данни, така и за автентикация на потребител root (credential staffing).
Случва се така, че откритите удостоверения принадлежат на услуги на други хостове. Развитието на атака върху инфраструктурата през компрометиран хост може да бъде също толкова опасно, колкото експлоатацията на други хостове. Съседни системи също могат да бъдат открити с помощта на търсене на IP адреси във файловата система.

grep -lRi "password" /home /var/www /var/log 2>/dev/null | sort | uniq #Намерете низ password (без cs) в тези директории
grep -a -R -o '[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}' /var/log/ 2>/dev/null | sort -u | uniq #IPs в логовете

В случай, че на компрометирания хост има уеб приложение, достъпно от интернет, по-добре е да изключите неговите логове от търсенето на IP адреси. Адресите на потребителите от интернет вероятно няма да са полезни, но адресите от вътрешната мрежа (172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8) и местата, където те посещават, според логовете, може да представляват интерес.

Sudo

Командата sudo позволява на потребителя да изпълни команда в контекста на root с помощта на собствена парола или изцяло без нейното използване. Много операции в Linux изискват права на root, но работата под root се счита за много лоша практика. Вместо това е по-добре да се прилага селективен достъп за изпълнение на команди в контекста на root. Въпреки това много инструменти на Linux, включително стандартните типове vi, могат да се използват за повишаване на правомощията по напълно легитимни начини. За търсене на подходящ метод препоръчвам да се проследи. тук..

Първото нещо, което трябва да направите след получаване на достъп до системата, е да изпълните командата sudo -l. Тя ще покаже разрешението за използване на командата sudo. Ако получите потребител без парола (например, apache или www-data), векторът за повишаване на привилегиите чрез sudo е малко вероятен. Когато се използва sudo, системата ще поиска парола. Чрез командата passwd задаването на парола също няма да сработи, тъй като тя ще поиска текущата парола на потребителя. Но ако sudo все пак е достъпен, то по същество трябва да търсите:

• всякакви интерпретатори, всеки може да създаде shell (PHP, Python, Perl);
• всякакви текстови редактори (vim, vi, nano);
• всякакви прегледачи (less, more);
• всякакви възможности за работа с файловата система (cp, mv);
• инструменти, които имат достъп до bash, интерактивно или под формата на изпълнима команда (awk, find, nmap, tcpdump, man, vi, vim, ansible).

Suid/Sgid

В интернет има множество ръководства, които предлагат да се съберат всички suid/sgid команди, обаче рядка статия дава конкретика какво да се прави с тези програми. Опции за повишаване на привилегиите, които не вземат предвид използването на експлоити, могат да бъдат намерени тук. Също така редица изпълними файлове имат специфични уязвимости под версията на ОС, например.

В идеалния свят трябва да се пропуснат всички инсталирани пакети поне през searchsploit. На практика подобно нещо трябва да се прави с най-популярните програми като sudo. Винаги има и възможност да се използват и поддържат разработване на автоматизирани инструменти, които да подчертаят интересни от гледна точка на повишаване на привилегиите изпълними файлове с излагани битове suid/sgid. Списък с такива инструменти ще предоставя в съответната част на статията.

Достъпни за запис скриптове, изпълнявани от Cron или Init, в контекста на Root

Задачите cron могат да се изпълняват в контекста на различни потребители, включително root. Ако в cron е зададена задача с връзка към изпълним файл, и той е достъпен за вас за запис, лесно можете да го замените с вредоносен и да извършите повишаване на привилегиите. При това по подразбиране файловете със задачи в cron са достъпни за четене за всеки потребител.

ls -la /etc/cron.d  # show cron jobs 

По подобен начин стоят нещата и с init. Разликата е, че задачите в cron се изпълняват периодично, а в init — при стартиране на системата. За експлоатация е нужна повторна загрявка на системата, при което част от услугите може и да не стартират (ако не са били записани за автоматично стартиране).

ls -la /etc/init.d/  # показване на скриптове за инициализация 

Също така можете да потърсите файлове, достъпни за запис от всеки потребител.

find / -perm -2 -type f 2>/dev/null # намиране на файлове, отворени за запис от всички

Методът е доста известен, опитните системни администратори внимателно използват командата chmod. Въпреки това, в интернет, в подавляващото мнозинство на ръководствата се описва задаването на максимални права. Подходът на неопитните системни администратори "само да свърши работа" създава възможности за повишаване на правата в принцип. Ако е възможно, е по-добре да се потърси в историята на командите небезопасното използване на chmod.

chmod +w /path 
chmod 777 /path

Получаване на достъп до обвивките на други потребители

Поглеждаме списъка с потребители в /etc/passwd. Обърнете внимание на тези, които имат обвивка. Можете да пробвате тези потребители - не е изключено, че чрез получения потребител в крайна сметка ще успеете да увеличите правата си.

За повишаване на сигурността, препоръчвам винаги да се придържате към принципа на минимални права. Има смисъл да се отдели време за проверка на небезопасни конфигурации, които могат да останат след отстраняване на проблеми - това е "технически дълг" на системния администратор.

Собственоръчно написан код

Струва си внимателно да се разгледат изпълнимите файлове в домашната директория на потребителя и уеб-сървъра (/var/www/, ако не е зададена друга). Тези файлове могат да се окажат абсолютно небезопасно решение и да съдържат невероятни костюми. Разбира се, ако имате някакъв фреймворк в директорията на уеб-сървъра, няма смисъл да търсите в него zero-day в рамките на пентест, но е препоръчително да се намерят и проучат персонализираните подобрения, плъгини и компоненти.

За повишаване на сигурността е по-добре по възможност да се откажете от употребата на идентификационни данни в собственоръчно написаните скриптове, а също така от потенциално опасен функционал, например четене на /etc/shadow или манипулации с id_rsa.

Повишаване на правата чрез експлоатация на уязвимости

Преди да опитате да повишите правата си чрез експлоатация, е важно да разберете предаването на файлове на целевия хост. Освен обичайните средства като ssh, ftp, http (wget, curl) има цяла "зоопарк" от възможности.

За повишаване на сигурността на системата редовно я актуализирайте до актуални стабилни версии версиите, както и се опитвайте да използвате дистрибуции, насочени към Enterprise. В противен случай, макар и рядко, могат да се получат ситуации, в които apt upgrade прави системата неработоспособна.

Експлоатация на услуги, стартирани в контекста на потребителя root

Някои услуги на Linux работят от привилегирования потребител root. Можете да ги намерите с помощта на командата ps aux | grep root. В същото време услугата може да не бъде обявена в мрежата и да е достъпна локално. Ако има публични експлойти, може да се използват смело: сривът на услугата при неуспех е значително по-малко критичен от срив на ОС.

ps -aux | grep root # Linux

Най-успешният случай е работата на хакната услуга в контекста на потребителя root. Експлоатацията на услугата SMB предоставя привилегирован достъп SYSTEM в системи Windows (например, чрез ms17-010). Въпреки това в системите Linux това не се среща често, така че можете да прекарате много време в повишаване на привилегиите.

Експлоатация на уязвимости в ядрото на Linux

Това е пътят, по който трябва да се вървите в последния случай. Неуспешната експлоатация може да доведе до срив на системата, а в случай на ребут някои услуги (включително тези, през които е получен първоначалният shell) може да не стартират. Има случаи, когато администратор просто е забравил да приложи командата systemctl enable. Плюс това, ще предизвика много недоволство от вашата работа, ако експлоатацията не е била съгласувана.
Ако решите да използвате изходния код от exploitdb, задължително прочетете коментарите в началото на скрипта. Освен всичко друго, там обикновено е написано как да се компилира правилно този експлоит. Ако на вас не ви се занимава или по срокове е трябвало "вчера", можете да потърсите хранилища с вече компилирани експлойти, например. Въпреки това, трябва да разбирате, че в такъв случай ще получите котка в чувал. От друга страна, ако програмистът разбираше до байта как е устроен компютърът и използваният от него софтуер, той не би написал нито ред код през живота си.

cat /proc/version
uname -a
searchsploit "Linux Kernel" 

Metasploit

За да хванете и обработите свързване, винаги е най-добре да използвате модула exploit/multi/handler. Най-важното е да зададете правилния payload, например, generic/shell/reverse_tcp или generic/shell/bind_tcp. Обвивката, получена в Metasploit, може да бъде подобрена до Meterpreter с използването на модула post/multi/manage/shell_to_meterpreter. С Meterpreter можете да автоматизирате процеса на постексплоатация. Например, модулът post/multi/recon/local_exploit_suggester проверява платформата, архитектурата и необходимите за експлоатация сущности и предлага модули на Metasploit за повишаване на привилегиите на целевата система. Благодарение на Meterpreter, повишаването на привилегиите понякога се свежда до стартиране на нужния модул, но хакването без разбиране на случващото се под капака не е „истинско“ (ще трябва все пак да пишете отчет).

Инструменти

Инструментите за автоматизация на локалното събиране на информация ще ви спестят много усилия и време, но сами по себе си не могат напълно да открият пътя за повишаване на привилегиите, особено в случай на експлоатация на уязвимости в ядрото. Инструментите за автоматизация ще изпълнят вместо вас всички необходими команди за събиране на информация за системата, но е важно също така да можете проанализираме да анализирате получената информация. Надявам се моята статия да бъде полезна за вас. Разбира се, съществуват много повече инструменти, отколкото ще посоча по-долу, но те всъщност правят горе-долу едно и също — тук става дума по-скоро за вкус.

Linpeas

Достатъчно нов инструмент, първият комит е датиран от януари 2019 година. В момента е любимият ми инструмент. Същността му е, че подчертава най-интересните вектори за повишаване на привилегиите. Съгласете се, по-удобно е да получите експертна оценка на такова ниво, отколкото да разборите монолитни сурови данни.

LinEnum

Вторият ми любим инструмент, той също събира и систематизира данни, получени в резултат на локално изброяване.

Linux-exploit-suggester (1,2)

Този експлоит ще анализира системата за наличието на подходящи условия за експлоити. По същество, ще свърши работа, идентична на модула на Metasploit local_exploit_suggester, но ще предложи не модули на Metasploit, а връзки към изходните кодове на exploit-db.

Linuxprivchecker

Този скрипт ще събере и систематизира по раздели голямо количество информация, която може да бъде полезна за формиране на вектор за повишаване на привилегиите.

В друг път ще разгледам подробно повишаването на привилегиите в ОС Linux чрез suid/sgid.

Източник: habr.com