Јас сум корен. Разбирање на ескалацијата на привилегијата на Linux OS

Првиот квартал од 2020 година го поминав подготвувајќи се за OSCP испитот. Барањето информации на Google и многу „слепи“ обиди ми го одземаа целото слободно време. Особено беше тешко да се разберат механизмите за зголемување на привилегиите. Курсот PWK посветува големо внимание на оваа тема, но наставните материјали никогаш не се доволни. Има многу прирачници на Интернет со корисни команди, но јас не сум љубител на слепо следење препораки без да разберам до што ќе доведе тоа.

Би сакал да споделам со вас што научив за време на подготовката и успешното полагање на испитот (вклучувајќи периодични напади во Hack The Box). Чувствував силно чувство на благодарност за секоја трошка информација што ми помогна посвесно да чекорам по патеката „Три посилно“, сега е моето време да и вратам на заедницата.

Сакам да ви дадам прирачник за тоа како да ги ескалирате привилегиите во OS Linux, кој вклучува анализа на најчестите вектори и сродните карактеристики кои дефинитивно ќе ви бидат корисни. Честопати самите механизми за зголемување на привилегиите се прилично едноставни, се јавуваат потешкотии при структурирање и анализа на информациите. Затоа, решив да започнам со „разгледување на знаменитостите“, а потоа да го разгледам секој вектор во посебна статија. Се надевам дека ќе заштедите малку време за истражување на темата.

Па, зошто е можно зголемување на привилегиите во 2020 година ако методите се добро познати долго време? Всушност, ако корисникот правилно се справува со системот, навистина нема да биде можно да се зголемат привилегиите во него. Главниот глобален проблем што предизвикува такви можности е несигурна конфигурација. Присуството на застарени верзии на софтвер кои содржат пропусти во системот е исто така посебен случај на небезбедна конфигурација.

Зголемување на привилегијата преку несигурна конфигурација

Прво, да се справиме со несигурната конфигурација. Да почнеме со ИТ професионалците често користат прирачници и ресурси како stackoverflow, од кои многу содржат небезбедни команди и конфигурации. Впечатлив пример - вестите дека кодот најмногу копиран од stackoverflow содржи грешка. Искусен админ ќе го види џембот, но ова е во идеален свет. Дури и компетентни специјалисти зголемен обем на работа способни да прават грешки. Замислете дека некој администратор подготвува и координира документација за следниот тендер, во исто време навлегува во новата технологија што треба да се имплементира во следниот квартал, а периодично ги решава проблемите со корисничката поддршка. И тогаш тој добива задача брзо да постави неколку виртуелни машини и да ги ослободи услугите на нив. Што мислите, колкава е веројатноста админот едноставно да не го забележи џамбот? Потоа се менуваат специјалистите, но патериците остануваат, додека компаниите секогаш се стремат да ги минимизираат трошоците, вклучително и за ИТ персоналот.

Псевдо-школка и џеилбрејк

Системската обвивка добиена за време на фазата на експлоатација е често ограничена, особено ако сте ја добиле преку хакирање на корисник на веб-серверот. На пример, ограничувањата на школка може да ве спречат да ја извршите командата sudo, предизвикувајќи грешка:

sudo: no tty present and no askpass program specified

Откако ќе имате школка, препорачувам да креирате полноправен терминал, на пример користејќи Python.

python -c 'import pty;pty.spawn("/bin/bash")'

Може да прашате: „Зошто ми требаат илјада команди ако можам да користам една, на пример, за пренос на датотеки? Факт е дека системите се поинаку конфигурирани; даден хост можеби нема инсталиран Python, но може да има Perl. Вештината е да можеш да правиш познати работи во системот без познати алатки. Може да се најде комплетна листа на функции тука.

Ниско привилегирана школка може да се добие со користење тимови 1 и тимови 2 (изненадувачки, дури и GIMP).

Погледнете ја историјата на команди

Linux собира историја на сите извршени команди во датотека ~/.bash_history. Ако серверот активно се користи и неговата историја не е исчистена, постои голема веројатност да се најдат ингеренциите во оваа датотека. Чистењето на историјата е едноставно незгодно. Ако администраторот е принуден да избере команди од десет ката преку , се разбира, ќе му биде попогодно да ја повика оваа команда од историјата отколку да ја внесе повторно. Плус, многу луѓе не знаат за овој „хак“. Ако има алтернативни школки како Zsh или Fish во системот, тие имаат своја историја. За да се прикаже историјата на команди во која било школка, само напишете ја историјата на командите.

cat ~/.bash_history
cat ~/.mysql_history
cat ~/.nano_history
cat ~/.php_history
cat ~/.atftp_history

Постои заеднички хостинг, во кој серверот се користи за хостирање на неколку веб-страници. Вообичаено, со оваа конфигурација, секој ресурс има свој корисник со посебен домашен директориум и виртуелен домаќин. Значи, ако е погрешно конфигуриран, можете да ја најдете датотеката .bash_history во root директориумот на веб-ресурсот.

Пребарување лозинки во датотечниот систем и напади на соседните системи

Конфигурациските датотеки за различни услуги може да бидат читливи од вашиот моментален корисник. Во нив можете да најдете акредитиви во јасен текст - лозинки за пристап до база на податоци или сродни услуги. Истата лозинка може да се користи и за пристап до базата на податоци и за овластување на root корисникот (кадровски персонал).
Се случува пронајдените акредитиви да припаѓаат на услуги на други хостови. Развивањето напад врз инфраструктурата преку компромитиран домаќин не е полошо од искористување на други домаќини. Соседните системи може да се најдат и со барање IP адреси во датотечен систем.

grep -lRi "password" /home /var/www /var/log 2>/dev/null | sort | uniq #Find string password (no cs) in those directories
grep -a -R -o '[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}' /var/log/ 2>/dev/null | sort -u | uniq #IPs inside logs

Ако компромитираниот домаќин има веб-апликација достапна од Интернет, подобро е да ги исклучите неговите дневници од пребарувањето за IP адреси. Адресите на корисниците на ресурси од Интернет веројатно нема да ни бидат корисни, но адресите на внатрешната мрежа (172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8) и каде одат, судејќи според дневниците , може да биде од интерес.

Sudo

Командата sudo му дава на корисникот можност да изврши команда во root контекст користејќи своја сопствена лозинка или без воопшто да користи лозинка. Многу операции во Linux бараат root привилегии, но работењето како root се смета за многу лоша практика. Наместо тоа, подобро е да се примени селективна дозвола за извршување на команди во коренскиот контекст. Сепак, многу алатки на Linux, вклучувајќи ги и стандардните како vi, може да се користат за зголемување на привилегиите на легитимни начини. За да најдете соодветен метод, препорачувам да барате тука.

Првата работа што треба да ја направите кога ќе добиете пристап до системот е да ја извршите командата sudo -l. Ќе прикаже дозвола за користење на командата sudo. Ако се добие корисник без лозинка (како што се apache или www-data), векторот за ескалација на привилегијата преку sudo е малку веројатен. Кога користите sudo, системот ќе побара лозинка. Нема да можете да поставите лозинка ниту со помош на командата passwd; таа ќе ја побара моменталната лозинка на корисникот. Но, ако судо е сè уште достапно, тогаш во суштина треба да барате:

• кој било толкувач, секој може да создаде школка (PHP, Python, Perl);
• било кој уредувач на текст (vim, vi, nano);
• сите гледачи (помалку, повеќе);
• секаква способност за работа со датотечен систем (cp, mv);
• Алатки кои имаат излез во bash, интерактивни или како извршна команда (awk, find, nmap, tcpdump, man, vi, vim, ansible).

Суид/Сгид

Има многу прирачници на Интернет кои советуваат да се соберат сите команди suid/sgid, но ретка статија дава специфики за тоа што да се прави со овие програми. Може да се најдат опции за зголемување на привилегиите кои не ја земаат предвид употребата на експлоатирања тука. Исто така, голем број на извршни датотеки имаат специфични пропусти за верзијата на ОС, на пример.

Во идеален свет, сите инсталирани пакети би ги извршиле барем преку прелистувач за пребарување. Во пракса, ова треба да се направи со најпопуларните програми како што е sudo. Исто така, секогаш постои опција да се користи и да се поддржи развојот на автоматизирани алатки кои ќе истакнат интересни, од гледна точка на ескалација на привилегиите, извршни датотеки со сет на битови suid/sgid. Ќе дадам список на такви алатки во соодветниот дел од статијата.

Скрипти за пишување управувани од Cron или Init во контекст на Root

Cron задачите може да се извршуваат под различни кориснички контексти, вклучително и root. Ако cron задача е поставена со врска до извршна датотека и е достапна за пишување, таа лесно може да се замени со злонамерна и ескалација на привилегијата. Сепак, стандардно, датотеките со cron задачи се читливи од секој корисник.

ls -la /etc/cron.d  # show cron jobs 

Слична е ситуацијата и со init. Разликата е во тоа што задачите во cron се извршуваат периодично, а во init - при стартување на системот. Операцијата ќе бара рестартирање на системот, а некои услуги може да не се стартуваат (ако не биле регистрирани при стартување).

ls -la /etc/init.d/  # show init scripts 

Можете исто така да пребарувате за датотеки што се запишуваат од кој било корисник.

find / -perm -2 -type f 2>/dev/null # find world writable files

Методот е доста добро познат, искусните системски администратори внимателно ја користат командата chmod. Сепак, на Интернет, огромното мнозинство на прирачници опишуваат поставување на максимални права. Пристапот „само направи го да работи“ на неискусните системски администратори создава можности за ескалација на привилегиите во принцип. Ако е можно, подобро е да се погледне во историјата на команди за небезбедна употреба на chmod.

chmod +w /path 
chmod 777 /path

Стекнување пристап до школка до други корисници

Ја разгледуваме листата на корисници во /etc/passwd. Обрнуваме внимание на оние кои имаат школка. Можете да ги брутите овие корисници - можно е преку добиениот корисник на крајот да биде можно да се зголемат привилегиите.

За да ја подобрите безбедноста, препорачувам секогаш да се придржувате до принципот на најмала привилегија. Исто така, има смисла да се троши време за проверка на небезбедни конфигурации што би можеле да останат по отстранувањето на проблеми - ова е „техничка должност“ на администраторот на системот.

Самонапишан код

Вреди да се погледне внимателно на извршните датотеки во домашниот директориум на корисникот и веб-серверот (/var/www/, освен ако не е поинаку наведено). Овие датотеки може да испаднат дека се целосно небезбедно решение и содржат неверојатни патерици. Се разбира, ако имате некаква рамка во директориумот на веб-серверот, нема смисла да барате нулти-ден во него како дел од тестот, но се препорачува да најдете и проучите сопствени модификации, додатоци и компоненти.

За да се зголеми безбедноста, подобро е, ако е можно, да се избегне користење на акредитиви во само напишани скрипти, како и потенцијално опасна функционалност, како што се читање /etc/shadow или манипулирање со id_rsa.

Подигнување на привилегиите преку искористување на ранливостите

Пред да се обидете да ги зголемите привилегиите преку експлоатација, важно е да разберете пренос на датотеки до целниот домаќин. Покрај вообичаените алатки како ssh, ftp, http (wget, curl) постои и целина „зоолошка градина“ на можности.

За да ја подобрите безбедноста на системот, ажурирајте го редовно до најновото стабилно верзии, а исто така обидете се да користите дистрибуции дизајнирани за Enterprise. Инаку, тоа е ретко, но има ситуации каде што apt upgrade го прави системот нефункционален.

Искористување на услуги кои работат под контекст на root корисник

Некои услуги на Линукс работат како root. Тие можат да се најдат со помош на командата ps aux | grep корен. Во овој случај, услугата може да не се рекламира на Интернет и да биде достапна локално. Ако има јавни експлоатирања, тие можат безбедно да се користат: падот на услугата во случај на неуспех е многу помалку критичен од падот на ОС.

ps -aux | grep root # Linux

Најуспешен случај може да се смета за работа на хакирана услуга во контекст на root корисникот. Работењето на услугата SMB дава привилегиран СИСТЕМСКИ пристап на Windows системите (на пример, преку ms17-010). Сепак, ова не е вообичаено за системите на Линукс, така што можете да потрошите многу време за зголемување на привилегиите.

Искористување на ранливости на кернелот на Linux

Ова е патот по кој треба да одите последен. Неуспешното работење може да доведе до пад на системот, а во случај на рестартирање, некои услуги (вклучувајќи ги и оние преку кои е добиена почетната школка) може да не се стартуваат. Се случува администраторот едноставно да заборави да ја користи командата systemctl enable. Плус ќе предизвика многу незадоволство од вашата работа ако операцијата не е договорена.
Ако одлучите да ги користите изворните кодови од exploitdb, задолжително прочитајте ги коментарите на почетокот на скриптата. Меѓу другото, обично пишува како правилно да се состави даден експлоат. Ако сте премногу мрзливи или моравте да го направите тоа „вчера“ поради рокови, можете да барате складишта со веќе компајлирани експлоатации, на пример. Сепак, треба да разберете дека во овој случај ќе добиете свиња во ѕиркање. Од друга страна, ако програмерот би разбрал до бајт како работи компјутерот и софтверот што го користи, тој нема да напише ниту една линија код во целиот свој живот.

cat /proc/version
uname -a
searchsploit "Linux Kernel" 

Метаплоит

Со цел да се фати и да се справи со врската, секогаш е подобро да се користи модулот exploit/multi/handler. Главната работа е да го поставите точниот товар, на пример, генерички/школка/reverse_tcp или генерички/школка/bind_tcp. Школката произведена од Metasploit може да се надгради на Meterpreter користејќи го модулот post/multi/manage/shell_to_meterpreter. Со Meterpreter, можете да го автоматизирате пост-експлоататорскиот процес. На пример, модулот post/multi/recon/local_exploit_suggester ја проверува платформата, архитектурата и ентитетите потребни за експлоатација и предлага Metasploit модули за зголемување на привилегиите на целниот систем. Благодарение на Meterpreter, зголемувањето на привилегиите понекогаш се сведува на лансирање на потребниот модул, но хакирањето без да се разбере што се случува под хаубата не е „вистинито“ (сеуште треба да напишете извештај).

алатки

Алатките за автоматизирање на локалното собирање информации ќе ви заштедат многу напор и време, но сами по себе не се во можност целосно да го идентификуваат патот до ескалација на привилегиите, особено во случај на искористување на ранливости на кернелот. Алатките за автоматизација ќе ги извршуваат сите потребни команди за да собирате информации за системот, но исто така е важно да можете да анализира примени податоци. Се надевам дека мојата статија ќе ви биде корисна во овој поглед. Се разбира, има многу повеќе алатки отколку што ќе наведам подолу, но сите тие го прават приближно истото - ова е попрво прашање на вкус.

Линграш

Сосема неодамнешна Тула, првото извршување датира од јануари 2019 година. Мојата омилена алатка во моментов. Поентата е што ги истакнува најинтересните вектори на ескалација на привилегии. Се согласувам, попогодно е да се добие експертска проценка на ова ниво отколку да се анализираат монолитни необработени податоци.

LinEnum

Мојата втора омилена алатка, таа исто така собира и организира податоци добиени како резултат на локално набројување.

Linux-exploit-suggester (1,2)

Овој експлоат ќе го анализира системот за соодветни услови за експлоатација. Всушност, тој ќе ја заврши работата идентично на Metasploit модулот local_exploit_suggester, но ќе нуди линкови до изворните кодови на exploit-db наместо Metasploit модулите.

Linuxprivchecker

Оваа скрипта ќе собере и организира во делови голема количина на информации кои можат да бидат корисни за формирање вектор за зголемување на привилегиите.

Друг пат ќе навлегувам во детали подигање на привилегиите во Linux OS преку suid/sgid.

Извор: www.habr.com