Kiddy — kjerne Linux-modul for å beskytte mot skript- kiddy

Kiddy – modul for Linux-kjernen, utviklet for å redusere risikoene ved utnyttelse av (noen) sårbarheter i kjernen.

Kjernemekanismen i dette modulen er basert på en enkel idé, som er at under et angrep skjer det uansett en identifisering av angrepsobjektet. Derfor, hvis man vanskeliggjør en slik identifisering, kan man dramatisk øke kompleksiteten ved utnyttelse, ettersom mange ferdige utnyttelser inneholder tabeller med ulike typer forskyvninger (offsets) som tilsvarer målversjonene av kjernen.

For eksempel, slik er det gjort for CVE-2017-1000112. Her kan man også se at identifiseringen av kjernens versjon skjer ved bruk av uname.

Den utviklede modulen er enkel å implementere og lar deg:

• endre identifikasjonen av kjernen;
• begrense tilgangen til kjernens logg (dmesg);
• begrense tilgangen til enkelte filer i /proc, som også inneholder identifiserende informasjon;
• begrense tilgangen til filer og mapper som potensielt inneholder identifiserende informasjon;
• endre identifikasjonen av kjernens versjon tilgjengelig via vDSO.

Under oppbyggingen kan modulen bruke såkalte «presets», som implementerer ulik logikk for endring av identifikasjonen. For eksempel, ved å bruke preset «windows» kan man få følgende oppførsel:

Før modulens lastning

$ ./misc/id.sh ** UNAME identitetslekasjer — uname -r 2.6.32-754.35.1.el6.x86_64 — uname -v #1 SMP lørdag 7. nov 12:42:14 UTC 2020 — uname -a Linux localhost.localdomain 2.6.32-754.35.1.el6.x86_64 #1 SMP lørdag 7. nov 12:42:14 UTC 2020 x86_64 x86_64 x86_64 GNU/Linux ** PROCFS identitetslekasjer — /proc/cmdline ro root=/dev/mapper/VolGroup00-LogVol00 rd_NO_LUKS no_timer_check console=tty0 console=ttyS0,115200n8 net.ifnames=0 biosdevname=0 LANG=en_US.UTF-8 rd_NO_MD SYSFONT=latarcyrheb-sun16 rd_LVM_LV=VolGroup00/LogVol01 rd_LVM_LV=VolGroup00/LogVol00 KEYBOARDTYPE=pc KEYTABLE=us rd_NO_DM rhgb quiet — /proc/version Linux versjon 2.6.32-754.35.1.el6.x86_64 (mockbuild@x86-02.bsys.centos.org) (gcc versjon 4.4.7 20120313 (Red Hat 4.4.7-23) (GCC) ) #1 SMP lørdag 7. nov 12:42:14 UTC 2020 — /proc/sys/kernel/version #1 SMP lørdag 7. nov 12:42:14 UTC 2020 — /proc/sys/kernel/osrelease 2.6.32-754.35.1.el6.x86_64 which: no hostnamectl in (/usr/local/bin:/bin:/usr/bin:/usr/local/sbin:/usr/sbin:/sbin:/home/vagrant/bin)

Etter modulens lastning

$ ./misc/id.sh ** UNAME identitetslekasjer — uname -r Windows — uname -v NT 4.0 — uname -a Linux localhost.localdomain Windows NT 4.0 x86_64 x86_64 x86_64 GNU/Linux ** PROCFS identitetslekasjer — /proc/cmdline EFIMicrosoftBootbootmgfw.efi — /proc/version Windows NT 4.0 — /proc/sys/kernel/version NT 4.0 — /proc/sys/kernel/osrelease Windows which: no hostnamectl in (/usr/local/bin:/bin:/usr/bin:/usr/local/sbin:/usr/sbin:/sbin:/home/vagrant/bin)

Skript- kiddy vil ikke passere!

Kilde: linux.org.ru