🥇मैं जड़ हूँ। OS Linux प्रिविलेज एस्केलेशन को समझना

मैंने 2020 की पहली तिमाही OSCP परीक्षा की तैयारी में बिताई। Google पर जानकारी खोजने और बहुत सारे "अंधा" प्रयासों में मेरा सारा खाली समय लग गया। बढ़ते विशेषाधिकारों के लिए तंत्र को समझना विशेष रूप से कठिन हो गया। पीडब्लूके पाठ्यक्रम इस विषय पर बहुत ध्यान देता है, लेकिन पद्धतिगत सामग्री हमेशा पर्याप्त नहीं होती है। इंटरनेट पर उपयोगी आदेशों के साथ बहुत सारे मैनुअल हैं, लेकिन मैं यह समझे बिना सिफारिशों का आँख बंद करके पालन करने का समर्थक नहीं हूँ कि यह कहाँ ले जाएगा।

मैं आपके साथ साझा करना चाहता हूं कि मैंने परीक्षा की तैयारी और सफल उत्तीर्ण होने के दौरान क्या सीखा (हैक द बॉक्स पर आवधिक छापे सहित)। मुझे हर जानकारी के लिए कृतज्ञता की गहरी भावना महसूस हुई जिसने मुझे और अधिक सचेत रूप से प्रयास करने में मदद की, अब समुदाय को वापस देने का मेरा समय है।

मैं आपको ओएस लिनक्स में विशेषाधिकार वृद्धि के लिए एक गाइड देना चाहता हूं, जिसमें सबसे सामान्य वैक्टर और संबंधित सुविधाओं का विश्लेषण शामिल है जिनकी आपको निश्चित रूप से आवश्यकता होगी। अक्सर, विशेषाधिकार वृद्धि तंत्र स्वयं काफी सरल होते हैं, सूचना की संरचना और विश्लेषण करते समय कठिनाइयाँ उत्पन्न होती हैं। इसलिए, मैंने "दर्शनीय स्थलों की यात्रा" के साथ शुरुआत करने का फैसला किया और फिर प्रत्येक वेक्टर पर एक अलग लेख में विचार किया। मुझे उम्मीद है कि मैं विषय का अध्ययन करने के लिए आपका समय बचाऊंगा।

तो, 2020 में भी विशेषाधिकार वृद्धि क्यों संभव है यदि तरीके बहुत लंबे समय से ज्ञात हैं? वास्तव में, यदि उपयोगकर्ता सिस्टम को सही ढंग से संभालता है, तो वास्तव में इसमें विशेषाधिकारों को बढ़ाना संभव नहीं होगा। ऐसे अवसरों को जन्म देने वाली मुख्य वैश्विक समस्या है असुरक्षित विन्यास. सिस्टम में कमजोरियों वाले पुराने सॉफ़्टवेयर संस्करणों की उपस्थिति भी असुरक्षित कॉन्फ़िगरेशन का एक विशेष मामला है।

असुरक्षित कॉन्फ़िगरेशन के माध्यम से विशेषाधिकार वृद्धि

सबसे पहले, आइए असुरक्षित कॉन्फ़िगरेशन से निपटें। चलिए शुरू करते हैं आईटी पेशेवर अक्सर स्टैक ओवरफ्लो जैसे मैनुअल और संसाधनों का उपयोग करते हैं, जिनमें से कई में असुरक्षित कमांड और कॉन्फिग होते हैं। ज्वलंत उदाहरण है खबर है स्टैक ओवरफ्लो से सबसे अधिक कॉपी किए गए कोड में एक त्रुटि थी। एक अनुभवी व्यवस्थापक जाम देखेगा, लेकिन यह एक आदर्श दुनिया में है। सक्षम पेशेवर भी बढ़ा हुआ कार्यभार गलतियाँ करने में सक्षम। कल्पना कीजिए कि प्रशासक अगली निविदा के लिए दस्तावेज तैयार कर रहा है और अनुमोदन कर रहा है, साथ ही साथ अगली तिमाही में पेश की जाने वाली नई तकनीक में देरी कर रहा है, जबकि समय-समय पर उपयोगकर्ता सहायता कार्यों को हल कर रहा है। और फिर उसे कुछ आभासी मशीनों को जल्दी से बढ़ाने और उन पर सेवाएं देने का काम दिया जाता है। आपको क्या लगता है, क्या संभावना है कि व्यवस्थापक केवल जाम्ब को नोटिस नहीं करता है? फिर विशेषज्ञ बदल जाते हैं, लेकिन बैसाखी बनी रहती है, जबकि कंपनियां हमेशा लागत कम करने का प्रयास करती हैं, जिसमें आईटी विशेषज्ञ भी शामिल हैं।

छद्म खोल और भागने

उत्पादन चरण के दौरान प्राप्त सिस्टम शेल अक्सर सीमित होता है, खासकर यदि आपने इसे वेब सर्वर उपयोगकर्ता को हैक करके प्राप्त किया हो। उदाहरण के लिए, शेल प्रतिबंध आपको त्रुटि के साथ sudo कमांड का उपयोग करने से रोक सकते हैं:

sudo: no tty present and no askpass program specified

एक खोल प्राप्त करने के बाद, मैं एक पूर्ण टर्मिनल बनाने की सलाह देता हूं, उदाहरण के लिए पायथन के साथ।

python -c 'import pty;pty.spawn("/bin/bash")'

आप पूछते हैं: "मुझे एक हजार आदेशों की आवश्यकता क्यों है, अगर मैं एक का उपयोग कर सकता हूं, उदाहरण के लिए, फ़ाइलों को स्थानांतरित करने के लिए?" तथ्य यह है कि सिस्टम अलग-अलग कॉन्फ़िगर किए गए हैं, अगले होस्ट पर पायथन स्थापित नहीं हो सकता है, लेकिन पर्ल उपलब्ध हो सकता है। कौशल परिचित उपकरणों के बिना सिस्टम में परिचित चीजें करने में सक्षम होना है। सुविधाओं की पूरी सूची मिल सकती है यहां.

निम्न विशेषाधिकार शेल का उपयोग करके प्राप्त किया जा सकता है टीमें 1 и टीमें 2 (आश्चर्यजनक रूप से जीआईएमपी भी)।

कमांड इतिहास देखें

लिनक्स एक फाइल में सभी निष्पादित कमांड का इतिहास एकत्र करता है ~ / .bash_history. यदि सर्वर सक्रिय उपयोग में है और इसका इतिहास साफ़ नहीं किया गया है, तो इस फ़ाइल में क्रेडेंशियल्स पाए जाने की अच्छी संभावना है। इतिहास को साफ़ करना बेहद असुविधाजनक है। यदि व्यवस्थापक को के माध्यम से दस-स्तरीय आदेशों का चयन करने के लिए मजबूर किया जाता है, तो निश्चित रूप से, इस आदेश को फिर से दर्ज करने की तुलना में इतिहास से इस आदेश को कॉल करना अधिक सुविधाजनक होगा। साथ ही, बहुत से लोग इस "हैक" के बारे में नहीं जानते हैं। यदि सिस्टम में Zsh या मछली जैसे वैकल्पिक गोले हैं, तो उनका अपना इतिहास है। किसी भी शेल में कमांड का इतिहास प्रदर्शित करने के लिए, केवल कमांड इतिहास टाइप करें।

cat ~/.bash_history
cat ~/.mysql_history
cat ~/.nano_history
cat ~/.php_history
cat ~/.atftp_history

शेयर्ड होस्टिंग होती है, जिसमें सर्वर का इस्तेमाल कई साइट्स को होस्ट करने के लिए किया जाता है। आमतौर पर, इस कॉन्फ़िगरेशन के साथ, प्रत्येक संसाधन का अपना उपयोगकर्ता होता है जिसमें एक अलग होम डायरेक्टरी और एक वर्चुअल होस्ट होता है। इसलिए, यदि गलत तरीके से कॉन्फ़िगर किया गया है, तो आप वेब संसाधन की रूट डायरेक्टरी में .bash_history फ़ाइल पा सकते हैं।

फ़ाइल सिस्टम में पासवर्ड ढूँढना और आसन्न सिस्टम पर आक्रमण करना

विभिन्न सेवाओं के लिए कॉन्फ़िगरेशन फ़ाइलें आपके वर्तमान उपयोगकर्ता द्वारा पढ़ने योग्य हो सकती हैं। उनमें, आप स्पष्ट पाठ में साख पा सकते हैं - डेटाबेस या संबंधित सेवाओं तक पहुँचने के लिए पासवर्ड। डेटाबेस तक पहुँचने और रूट उपयोगकर्ता (क्रेडेंशियल स्टाफिंग) को अधिकृत करने के लिए एक ही पासवर्ड का उपयोग किया जा सकता है।
ऐसा होता है कि पाए गए प्रमाण-पत्र अन्य मेजबानों पर सेवाओं से संबंधित होते हैं। एक समझौता किए गए मेजबान के माध्यम से बुनियादी ढांचे पर हमले का विकास अन्य मेजबानों के शोषण से भी बदतर नहीं है। फाइल सिस्टम में आईपी एड्रेस को देखकर आसन्न सिस्टम को भी पाया जा सकता है।

grep -lRi "password" /home /var/www /var/log 2>/dev/null | sort | uniq #Find string password (no cs) in those directories
grep -a -R -o '[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}' /var/log/ 2>/dev/null | sort -u | uniq #IPs inside logs

यदि समझौता किए गए होस्ट के पास इंटरनेट से एक वेब एप्लिकेशन पहुंच योग्य है, तो इसके लॉग को आईपी पतों की खोज से बाहर करना बेहतर होगा। इंटरनेट से संसाधन उपयोगकर्ताओं के पते हमारे लिए उपयोगी होने की संभावना नहीं है, लेकिन आंतरिक नेटवर्क के पते (172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8) और वे कहां जाते हैं, इसे देखते हुए लॉग, रुचि का हो सकता है।

sudo

सुडो कमांड उपयोगकर्ता को रूट के संदर्भ में अपने पासवर्ड के साथ या बिना इसका उपयोग किए कमांड निष्पादित करने की अनुमति देता है। लिनक्स में कई ऑपरेशनों के लिए रूट विशेषाधिकारों की आवश्यकता होती है, लेकिन रूट के रूप में चलना बहुत बुरा व्यवहार माना जाता है। इसके बजाय, रूट संदर्भ में कमांड निष्पादित करने के लिए चयनात्मक अनुमतियों को लागू करना बेहतर है। हालाँकि, कई Linux उपकरण, जिनमें vi जैसे मानक उपकरण शामिल हैं, का उपयोग विशेषाधिकारों को वैध तरीकों से बढ़ाने के लिए किया जा सकता है। सही रास्ता खोजने के लिए, मैं देखने की सलाह देता हूं यहां.

सिस्टम तक पहुंच प्राप्त करने के बाद करने वाली पहली बात सूडो-एल कमांड चलाना है। यह सूडो कमांड का उपयोग करने की अनुमति प्रदर्शित करेगा। यदि बिना पासवर्ड वाला उपयोगकर्ता प्राप्त किया जाता है (जैसे apache या www-data), तो sudo विशेषाधिकार वृद्धि वेक्टर की संभावना नहीं है। सुडो का उपयोग करते समय, सिस्टम पासवर्ड मांगेगा। पासवर्ड सेट करने के लिए पासवार्ड कमांड का उपयोग करना भी काम नहीं करेगा, यह वर्तमान उपयोगकर्ता पासवर्ड मांगेगा। लेकिन अगर सूडो अभी भी उपलब्ध है, तो, वास्तव में, आपको देखने की जरूरत है:

कोई भी दुभाषिया, कोई भी खोल (PHP, Python, Perl) पैदा कर सकता है;
कोई पाठ संपादक (vim, vi, nano);
कोई दर्शक (कम, अधिक);
फ़ाइल सिस्टम (सीपी, एमवी) के साथ काम करने की कोई संभावना;
उपकरण जिनमें बैश में आउटपुट होता है, या तो अंतःक्रियात्मक रूप से या एक निष्पादन योग्य कमांड के रूप में (awk, find, nmap, tcpdump, man, vi, vim, ansible)।

सूद/Sgid

इंटरनेट पर कई मैनुअल हैं जो सभी suid / sgid कमांड बनाने की सलाह देते हैं, लेकिन एक दुर्लभ लेख इन प्रोग्रामों के साथ क्या करना है, इसके बारे में विवरण देता है। विशेषाधिकार वृद्धि के विकल्प जो शोषण के उपयोग को ध्यान में नहीं रखते हैं, उन्हें ढूंढा जा सकता है यहां. साथ ही, कई निष्पादन योग्य फ़ाइलों में OS संस्करण के लिए विशिष्ट भेद्यताएँ होती हैं, उदाहरण के लिये.

एक आदर्श दुनिया में, आपको कम से कम सर्चप्लॉट के माध्यम से सभी स्थापित पैकेजों को चलाना चाहिए। व्यवहार में, यह सुडो जैसे सबसे लोकप्रिय कार्यक्रमों के साथ किया जाना चाहिए। यह हमेशा स्वचालित उपकरणों के विकास का उपयोग और समर्थन करने का एक विकल्प होता है जो दिलचस्प, विशेषाधिकार वृद्धि के दृष्टिकोण से, सूट/एसजीआईडी बिट्स सेट के साथ निष्पादनयोग्य को उजागर करेगा। मैं लेख के संबंधित भाग में ऐसे उपकरणों की एक सूची दूंगा।

क्रॉन या इनिट द्वारा रूट संदर्भ में चलने योग्य लेखन योग्य स्क्रिप्ट

क्रॉन जॉब्स रूट सहित विभिन्न उपयोगकर्ताओं के संदर्भ में चल सकते हैं। यदि निष्पादन योग्य फ़ाइल के लिंक के साथ क्रॉन में कोई कार्य है, और यह आपके लिए लिखने के लिए उपलब्ध है, तो आप आसानी से इसे दुर्भावनापूर्ण से बदल सकते हैं और विशेषाधिकार वृद्धि कर सकते हैं। उसी समय, डिफ़ॉल्ट रूप से, क्रोन कार्यों वाली फाइलें किसी भी उपयोगकर्ता को पढ़ने के लिए उपलब्ध होती हैं।

ls -la /etc/cron.d  # show cron jobs

init का भी यही हाल है। अंतर यह है कि क्रॉन में कार्यों को समय-समय पर निष्पादित किया जाता है, और इनिट में - सिस्टम स्टार्टअप पर। ऑपरेशन के लिए, आपको सिस्टम को रीबूट करने की आवश्यकता होगी, जबकि कुछ सेवाएं नहीं बढ़ सकती हैं (यदि वे ऑटोलैड में पंजीकृत नहीं हैं)।

ls -la /etc/init.d/  # show init scripts

आप किसी भी उपयोगकर्ता द्वारा लिखने योग्य फ़ाइलों की खोज भी कर सकते हैं।

find / -perm -2 -type f 2>/dev/null # find world writable files

विधि काफी प्रसिद्ध है, अनुभवी सिस्टम प्रशासक सावधानीपूर्वक chmod कमांड का उपयोग करते हैं। हालाँकि, वेब पर, अधिकांश मैनुअल अधिकतम अधिकार सेट करने का वर्णन करते हैं। अनुभवहीन सिस्टम प्रशासकों का "बस इसे काम करें" दृष्टिकोण सिद्धांत रूप में विशेषाधिकार वृद्धि के अवसर पैदा करता है। यदि संभव हो, तो chmod के असुरक्षित उपयोगों के लिए कमांड इतिहास को देखना सबसे अच्छा है।

chmod +w /path 
chmod 777 /path

अन्य उपयोगकर्ताओं के लिए शेल एक्सेस प्राप्त करना

हम /etc/passwd में उपयोक्ताओं की सूची देखते हैं। हम उन पर ध्यान देते हैं जिनके पास शंख होता है। आप इन उपयोगकर्ताओं को क्रूर बना सकते हैं - यह संभव है कि परिणामी उपयोगकर्ता के माध्यम से आप अंततः विशेषाधिकारों को बढ़ाने में सक्षम होंगे।

सुरक्षा में सुधार के लिए, मेरा सुझाव है कि आप हमेशा कम से कम विशेषाधिकार के सिद्धांत का पालन करें। यह भी समझ में आता है कि असुरक्षित कॉन्फ़िगरेशन की जांच के लिए समय निकालें जो समस्या निवारण के बाद भी रह सकता है - यह सिस्टम प्रशासक का "तकनीकी कर्तव्य" है।

स्व-लिखित कोड

उपयोगकर्ता और वेब सर्वर की होम निर्देशिका (/ var/www/ जब तक अन्यथा निर्दिष्ट न हो) में निष्पादनयोग्य पर बारीकी से नज़र डालने लायक है। ये फाइलें पूरी तरह से असुरक्षित समाधान हो सकती हैं और इनमें अविश्वसनीय बैसाखी शामिल हैं। बेशक, यदि आपके पास अपनी वेब सर्वर निर्देशिका में कुछ ढांचा है, तो इसमें शून्य-दिन की खोज करने का कोई मतलब नहीं है, लेकिन यह कस्टम संशोधनों, प्लगइन्स और घटकों को खोजने और अध्ययन करने की सिफारिश की जाती है।

सुरक्षा बढ़ाने के लिए, स्व-लिखित लिपियों में क्रेडेंशियल्स का उपयोग करने से बचना बेहतर है, साथ ही संभावित खतरनाक कार्यक्षमता, जैसे पढ़ना / आदि / छाया या यदि संभव हो तो id_rsa में हेरफेर करना।

कमजोरियों के शोषण के माध्यम से विशेषाधिकार का उन्नयन

शोषण के माध्यम से विशेषाधिकारों को बढ़ाने का प्रयास करने से पहले, यह समझना महत्वपूर्ण है फ़ाइलों को लक्ष्य होस्ट में स्थानांतरित करना. Ssh, ftp, http (wget, curl) जैसे सामान्य उपकरणों के अलावा, एक संपूर्ण है संभावनाओं का "चिड़ियाघर".

अपने सिस्टम की सुरक्षा को बेहतर बनाने के लिए, इसे नवीनतम से नियमित रूप से अपडेट करें स्थिर संस्करण, और एंटरप्राइज़ के लिए डिज़ाइन किए गए वितरण का उपयोग करने का भी प्रयास करें। अन्यथा, शायद ही कभी, लेकिन ऐसी स्थितियाँ होती हैं जब उपयुक्त उन्नयन सिस्टम को अनुपयोगी बना देता है।

शोषण सेवाएं रूट उपयोगकर्ता के संदर्भ में चल रही हैं

कुछ लिनक्स सेवाएं विशेषाधिकार प्राप्त उपयोगकर्ता रूट के रूप में चलती हैं। उन्हें ps aux | का उपयोग करके पाया जा सकता है ग्रेप जड़। इस मामले में, वेब पर सेवा की घोषणा नहीं की जा सकती है और स्थानीय रूप से उपलब्ध हो सकती है। यदि इसमें सार्वजनिक शोषण है, तो उनका सुरक्षित रूप से उपयोग किया जा सकता है: विफलता के मामले में सेवा क्रैश OS क्रैश की तुलना में बहुत कम महत्वपूर्ण है।

ps -aux | grep root # Linux

सबसे सफल मामले को रूट उपयोगकर्ता के संदर्भ में हैक की गई सेवा का संचालन माना जा सकता है। SMB सेवा का संचालन सिस्टम को Windows सिस्टम पर विशेषाधिकार प्राप्त पहुँच देता है (उदाहरण के लिए ms17-010 के माध्यम से)। हालाँकि, यह लिनक्स सिस्टम पर सामान्य नहीं है, इसलिए आप विशेषाधिकार वृद्धि पर बहुत समय व्यतीत कर सकते हैं।

लिनक्स कर्नेल कमजोरियों का शोषण

यह लेने का आखिरी रास्ता है। असफल संचालन से सिस्टम क्रैश हो सकता है, और रीबूट की स्थिति में, कुछ सेवाएं (जिनके माध्यम से मूल खोल प्राप्त करना संभव था) में वृद्धि नहीं हो सकती है। ऐसा होता है कि व्यवस्थापक केवल systemctl सक्षम कमांड का उपयोग करना भूल गया। इसके अलावा यदि शोषण पर सहमति नहीं बनी है तो यह आपके काम के प्रति बहुत असंतोष पैदा करेगा।
यदि आप एक्सप्लॉइट डीबी से स्रोतों का उपयोग करने का निर्णय लेते हैं, तो स्क्रिप्ट की शुरुआत में टिप्पणियों को पढ़ना सुनिश्चित करें। अन्य बातों के अलावा, यह आमतौर पर कहता है कि इस कारनामे को सही तरीके से कैसे संकलित किया जाए। यदि आप बहुत आलसी थे या समय सीमा के कारण "कल" की आवश्यकता थी, तो आप पहले से संकलित कारनामों के साथ रिपॉजिटरी की तलाश कर सकते हैं, उदाहरण के लिये. हालांकि, यह समझा जाना चाहिए कि इस मामले में आपको एक प्रहार में एक सुअर मिलेगा। दूसरी ओर, यदि कोई प्रोग्रामर बाइट को यह समझ लेता कि कंप्यूटर कैसे काम करता है और यह किस सॉफ्टवेयर का उपयोग करता है, तो उसने अपने पूरे जीवन में कोड की एक पंक्ति नहीं लिखी होगी।

cat /proc/version
uname -a
searchsploit "Linux Kernel"

Metasploit

किसी कनेक्शन को पकड़ने और संभालने के लिए, शोषण/बहु/हैंडलर मॉड्यूल का उपयोग करना हमेशा बेहतर होता है। मुख्य बात सही पेलोड सेट करना है, उदाहरण के लिए, जेनेरिक/शेल/reverce_tcp या जेनेरिक/शेल/बाइंड_tcp। मेटास्प्लोइट में प्राप्त शेल को पोस्ट/मल्टी/मैनेज/शेल_टू_मीटरप्रेटर मॉड्यूल का उपयोग करके मीटरप्रेटर में अपग्रेड किया जा सकता है। मीटरप्रेटर के साथ, आप शोषण के बाद की प्रक्रिया को स्वचालित कर सकते हैं। उदाहरण के लिए, post/multi/recon/local_exploit_suggester मॉड्यूल प्लेटफ़ॉर्म, आर्किटेक्चर और शोषक संस्थाओं की जाँच करता है और लक्ष्य प्रणाली पर विशेषाधिकार वृद्धि के लिए मेटास्प्लोइट मॉड्यूल का सुझाव देता है। मीटरप्रेटर के लिए धन्यवाद, विशेषाधिकार वृद्धि कभी-कभी सही मॉड्यूल चलाने के लिए नीचे आती है, लेकिन हुड के नीचे क्या हो रहा है यह समझने के बिना हैकिंग सही नहीं है (आपको अभी भी एक रिपोर्ट लिखनी है)।

टूल्स

जानकारी के स्थानीय संग्रह को स्वचालित करने के उपकरण आपके बहुत प्रयास और समय की बचत करेंगे, लेकिन अपने आप में विशेष रूप से कर्नेल भेद्यता के शोषण के मामले में विशेषाधिकार वृद्धि पथ की पूरी तरह से पहचान करने में सक्षम नहीं हैं। सिस्टम के बारे में जानकारी एकत्र करने के लिए स्वचालन उपकरण आपके लिए सभी आवश्यक कमांड निष्पादित करेंगे, लेकिन यह भी महत्वपूर्ण है कि आप सक्षम हों विश्लेषण करने के लिए डेटा प्राप्त किया। मुझे उम्मीद है कि मेरा लेख इसमें आपके लिए उपयोगी होगा। नि:संदेह, जितने उपकरण मैं नीचे सूचीबद्ध करूंगा, उससे कहीं अधिक उपकरण हैं, लेकिन वे सभी एक ही चीज़ के बारे में करते हैं - यह अधिक स्वाद का विषय है।

लिनपीस

एक काफी ताज़ा उपकरण, पहली प्रतिबद्धता जनवरी 2019 की है। वर्तमान में मेरा पसंदीदा वाद्य यंत्र। लब्बोलुआब यह है कि यह सबसे दिलचस्प विशेषाधिकार वृद्धि वैक्टर को उजागर करता है। सहमत हूं, अखंड कच्चे डेटा को पार्स करने की तुलना में इस स्तर पर विशेषज्ञ मूल्यांकन प्राप्त करना अधिक सुविधाजनक है।

स्रोत: www.habr.com

मैं जड़ हूँ। लिनक्स ओएस प्रिविलेज एस्केलेशन को समझना