ја сам роот. Разумевање ескалације привилегија Линук ОС-а

Провео сам први квартал 2020. припремајући се за ОСЦП испит. Тражење информација на Гуглу и много „слепих“ покушаја одузимали су ми сво слободно време. Посебно је било тешко разумети механизме повећања привилегија. ПВК курс посвећује велику пажњу овој теми, али наставног материјала никад доста. На Интернету постоји много приручника са корисним командама, али ја нисам љубитељ слепо праћење препорука без разумевања до чега ће то довести.

Желео бих да поделим са вама оно што сам научио током припреме и успешног полагања испита (укључујући периодичне нападе на Хацк Тхе Бок). Осећао сам снажан осећај захвалности за сваку информацију која ми је помогла да свесније ходам путем Три Хардер, сада је моје време да вратим заједници.

Желим да вам дам приручник о томе како да повећате привилегије у ОС Линук-у, који укључује анализу најчешћих вектора и сродних функција које ће вам свакако бити корисне. Често су сами механизми за повећање привилегија прилично једноставни; потешкоће се јављају приликом структурирања и анализе информација. Стога сам одлучио да почнем са „обилазак града“, а затим размотрим сваки вектор у посебном чланку. Надам се да ћу вам уштедети време на истраживању теме.

Па зашто је ескалација привилегија уопште могућа 2020. године ако су методе добро познате већ дуго времена? У ствари, ако корисник правилно рукује системом, заиста неће бити могуће повећати привилегије у њему. Главни глобални проблем који ствара такве могућности је несигурна конфигурација. Посебан случај небезбедне конфигурације је и присуство застарелих верзија софтвера које садрже рањивости у систему.

Ескалација привилегија путем несигурне конфигурације

Прво, хајде да се позабавимо несигурном конфигурацијом. Почнимо са ИТ професионалци често користе приручнике и ресурсе као што је стацковерфлов, од којих многи садрже несигурне команде и конфигурације. Упечатљив пример - вести да је код који се највише копирао из стацковерфлов-а садржао грешку. Искусни администратор ће видети довратак, али ово је у идеалном свету. Чак и компетентни специјалисти повећано оптерећење способан да прави грешке. Замислите да администратор припрема и координира документацију за наредни тендер, истовремено се упуштајући у нову технологију која треба да се имплементира у наредном кварталу, уз периодично решавање проблема корисничке подршке. А онда добија задатак да брзо постави пар виртуелних машина и на њима уведе сервисе. Шта мислите колика је вероватноћа да админ једноставно неће приметити довратак? Тада се мењају специјалисти, али штаке остају, док компаније увек настоје да минимизирају трошкове, укључујући и ИТ особље.

Псеудо-љуска и бекство из затвора

Системска шкољка добијена током фазе експлоатације је често ограничена, посебно ако сте је добили хаковањем корисника веб сервера. На пример, ограничења љуске могу да вас спрече да покренете команду судо, стварајући грешку:

sudo: no tty present and no askpass program specified

Једном када имате љуску, препоручујем да направите пуноправни терминал, на пример користећи Питхон.

python -c 'import pty;pty.spawn("/bin/bash")'

Можете питати: „Зашто ми треба хиљаду команди ако могу да користим једну, на пример, за пренос датотека?“ Чињеница је да су системи другачије конфигурисани; дати хост можда нема инсталиран Питхон, али може имати Перл. Вештина је да можете да радите познате ствари у систему без познатих алата. Можете пронаћи комплетну листу функција овде.

Схелл са ниским привилегијама може се добити помоћу тимови 1 и тимови 2 (изненађујуће, чак и ГИМП).

Погледајте историју команди

Линук прикупља историју свих извршених команди у датотеци ~/.басх_хистори. Ако се сервер активно користи и његова историја није обрисана, постоји велика вероватноћа да се у овој датотеци пронађу акредитиви. Брисање историје је једноставно незгодно. Ако је администратор приморан да изабере команде од десет спратова преко , наравно, биће му згодније да позове ову команду из историје него да је поново унесе. Осим тога, многи људи не знају за овај „хак“. Ако у систему постоје алтернативне шкољке попут Зсх или Фисх, оне имају своју историју. Да бисте приказали историју команди у било којој љусци, само унесите историју команди.

cat ~/.bash_history
cat ~/.mysql_history
cat ~/.nano_history
cat ~/.php_history
cat ~/.atftp_history

Постоји дељени хостинг, у којем се сервер користи за хостовање неколико веб локација. Обично, са овом конфигурацијом, сваки ресурс има свог корисника са засебним кућним директоријумом и виртуелним хостом. Дакле, ако је погрешно конфигурисана, можете пронаћи датотеку .басх_хистори у основном директоријуму веб ресурса.

Тражење лозинки у систему датотека и напади на суседне системе

Ваш тренутни корисник може да чита конфигурационе датотеке за различите услуге. У њима можете пронаћи акредитиве у чистом тексту – лозинке за приступ бази података или сродним услугама. Иста лозинка се може користити и за приступ бази података и за ауторизацију роот корисника (акредитивно особље).
Дешава се да пронађени акредитиви припадају сервисима на другим хостовима. Развијање напада на инфраструктуру преко компромитованог хоста није ништа горе од искоришћавања других хостова. Суседни системи се такође могу пронаћи тражењем ИП адреса у систему датотека.

grep -lRi "password" /home /var/www /var/log 2>/dev/null | sort | uniq #Find string password (no cs) in those directories
grep -a -R -o '[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}' /var/log/ 2>/dev/null | sort -u | uniq #IPs inside logs

Ако компромитовани хост има веб апликацију доступном са Интернета, боље је искључити њене евиденције из претраге ИП адреса. Адресе корисника ресурса са Интернета вероватно нам неће бити од користи, али адресе интерне мреже (172.16.0.0/12, 192.168.0.0/16, 10.0.0.0/8) и где иду, судећи по логовима , може бити од интереса.

Судо

Команда судо даје кориснику могућност да изврши команду у роот контексту користећи сопствену лозинку или уопште не користи лозинку. Многе операције у Линук-у захтевају роот привилегије, али се покретање као роот сматра веома лошом праксом. Уместо тога, боље је применити селективну дозволу за извршавање команди у коренском контексту. Међутим, многи Линук алати, укључујући стандардне као што је ви, могу се користити за ескалацију привилегија на легитимне начине. Да бисте пронашли одговарајући метод, препоручујем да потражите овде.

Прва ствар коју треба да урадите када добијете приступ систему је да покренете команду судо -л. Приказаће дозволу за коришћење команде судо. Ако се добије корисник без лозинке (као што је апацхе или ввв-дата), вектор ескалације привилегија преко судо-а је мало вероватан. Када користите судо, систем ће тражити лозинку. Такође нећете моћи да поставите лозинку помоћу наредбе пассвд; она ће тражити тренутну лозинку корисника. Али ако је судо још увек доступан, у суштини морате да потражите:

• било који тумач, свако може да створи љуску (ПХП, Питхон, Перл);
• било који уређивач текста (вим, ви, нано);
• било који гледалац (мање, више);
• свака способност рада са датотечним системом (цп, мв);
• Алати који имају излаз у басх-у, интерактивни или као извршну команду (авк, финд, нмап, тцпдумп, ман, ви, вим, ансибле).

Суид/Сгид

Постоји много приручника на Интернету који саветују прикупљање свих команди суид/сгид, али ретки чланак даје детаље о томе шта да се ради са овим програмима. Могу се наћи опције за ескалацију привилегија које не узимају у обзир коришћење експлоатације овде. Такође, одређени број извршних датотека има специфичне рањивости за верзију ОС, на пример.

У идеалном свету, покренули бисте све инсталиране пакете барем кроз сеарцхсплоит. У пракси, то би требало да се уради са најпопуларнијим програмима као што је судо. Такође увек постоји могућност коришћења и подршке развоју аутоматизованих алата који ће истаћи занимљиве, са становишта повећања привилегија, извршне датотеке са постављеним суид/сгид битовима. Навест ћу листу таквих алата у одговарајућем одељку чланка.

Скрипте за писање које покрећу Црон или Инит у контексту Роот-а

Црон послови се могу покренути у различитим корисничким контекстима, укључујући роот. Ако је црон задатак постављен са везом до извршне датотеке и доступан је за писање, лако се може заменити злонамерним и може се извршити ескалација привилегија. Међутим, подразумевано, датотеке са црон задацима могу да читају било који корисник.

ls -la /etc/cron.d  # show cron jobs 

Слична је ситуација и са инит. Разлика је у томе што се задаци у црон-у извршавају периодично, ау инит-у - при покретању система. Операција ће захтевати поновно покретање система, а неке услуге се можда неће покренути (ако нису регистроване при покретању).

ls -la /etc/init.d/  # show init scripts 

Такође можете тражити датотеке у које може писати било који корисник.

find / -perm -2 -type f 2>/dev/null # find world writable files

Метода је прилично позната; искусни системски администратори пажљиво користе команду цхмод. Међутим, на Интернету, велика већина приручника описује постављање максималних права. Приступ неискусних систем администратора „само нека ради“ ствара могућности за ескалацију привилегија у принципу. Ако је могуће, боље је потражити у историји команди небезбедну употребу цхмод-а.

chmod +w /path 
chmod 777 /path

Добијање приступа љусци другим корисницима

Гледамо листу корисника у /етц/пассвд. Обраћамо пажњу на оне који имају шкољку. Можете брутирати ове кориснике - могуће је да ће преко резултујућег корисника на крају бити могуће повећати привилегије.

Да бисте побољшали безбедност, препоручујем да се увек придржавате принципа најмање привилегија. Такође има смисла потрошити време на проверу несигурних конфигурација које би могле остати након решавања проблема - ово је „техничка обавеза“ администратора система.

Самописни код

Вреди пажљиво погледати извршне датотеке у кућном директоријуму корисника и веб сервера (/вар/ввв/, осим ако није другачије назначено). Ове датотеке могу се показати као потпуно несигурно решење и садрже невероватне штаке. Наравно, ако имате неку врсту оквира у директоријуму веб сервера, нема смисла тражити нулти дан у њему као део пентеста, али се препоручује да пронађете и проучите прилагођене модификације, додатке и компоненте.

Да би се повећала безбедност, боље је, ако је могуће, избегавати коришћење акредитива у самописаним скриптама, као и потенцијално опасне функције, као што је читање /етц/схадов или манипулација ид_рса.

Подизање привилегија кроз искоришћавање рањивости

Пре него што покушате да ескалирате привилегије експлоатацијом, важно је разумети пренос датотека на циљни хост. Поред уобичајених алата као што су ссх, фтп, хттп (вгет, цурл) постоји целина „зоолошки врт” могућности.

Да бисте побољшали безбедност система, редовно га ажурирајте на најновије стабилан верзије, а такође покушајте да користите дистрибуције дизајниране за Ентерприсе. Иначе, то је ретко, али постоје ситуације у којима апт надоградња чини систем неоперативним.

Искоришћавање услуга које раде у контексту роот корисника

Неки Линук сервиси раде као роот. Могу се пронаћи помоћу команде пс аук | греп роот. У овом случају, услуга се можда неће оглашавати на Интернету и бити доступна локално. Ако има јавне експлоатације, они се могу безбедно користити: рушење услуге у случају квара је много мање критично од пада оперативног система.

ps -aux | grep root # Linux

Најуспешнијим случајем се може сматрати рад хаковане услуге у контексту роот корисника. Рад СМБ услуге даје привилеговани СИСТЕМ приступ на Виндовс системима (на пример, преко мс17-010). Међутим, ово није уобичајено на Линук системима, тако да можете потрошити много времена на повећање привилегија.

Искоришћавање рањивости Линук кернела

Ово је пут којим треба да идете последњи. Неуспешан рад може довести до пада система, а у случају поновног покретања, неке услуге (укључујући оне преко којих је добијена почетна шкољка) се можда неће покренути. Дешава се да је администратор једноставно заборавио да користи команду системцтл енабле. Осим тога, то ће изазвати много незадовољства вашим радом ако операција није била договорена.
Ако одлучите да користите изворне кодове са екплоитдб, обавезно прочитајте коментаре на почетку скрипте. Између осталог, обично пише како правилно компајлирати дати експлоат. Ако сте превише лењи или сте морали да то урадите „јуче“ због рокова, можете потражити спремишта са већ компајлираним експлоатацијама, на пример. Међутим, треба да схватите да ћете у овом случају добити свињу у џаку. С друге стране, када би програмер све до бајта разумео како рачунар функционише и софтвер који користи, не би написао ниједну линију кода током целог свог живота.

cat /proc/version
uname -a
searchsploit "Linux Kernel" 

Метасплоит

Да бисте ухватили и обрадили везу, увек је боље користити модул експлоатације/мулти/хандлер. Главна ствар је да подесите исправно оптерећење, на пример, генериц/схелл/реверсе_тцп или генериц/схелл/бинд_тцп. Шкољка коју производи Метасплоит може се надоградити на Метерпретер помоћу модула пост/мулти/манаге/схелл_то_метерпретер. Са Метерпретер-ом можете аутоматизовати процес после експлоатације. На пример, модул пост/мулти/рецон/лоцал_екплоит_суггестер проверава платформу, архитектуру и ентитете потребне за експлоатацију и предлаже Метасплоит модуле да ескалирају привилегије на циљном систему. Захваљујући Метерпретеру, повећање привилегија се понекад своди на покретање потребног модула, али хаковање без разумевања шта се дешава испод хаубе није „тачно“ (још увек морате да напишете извештај).

алат

Алати за аутоматизацију локалног прикупљања информација ће вам уштедети много труда и времена, али сами по себи нису у стању да у потпуности идентификују пут ка ескалацији привилегија, посебно у случају експлоатације рањивости кернела. Алати за аутоматизацију ће извршити све потребне команде за прикупљање информација о систему, али је такође важно да будете у могућности да анализирати примљених података. Надам се да ће вам мој чланак бити користан у овом погледу. Наравно, постоји много више алата него што ћу навести у наставку, али сви раде отприлике исту ствар - ово је пре ствар укуса.

Линпеас

Сасвим недавна Тула, прва обавеза датира из јануара 2019. Мој омиљени алат у овом тренутку. Поента је да истиче најзанимљивије векторе ескалације привилегија. Слажете се, згодније је добити стручну процену на овом нивоу него анализирати монолитне необрађене податке.

ЛинЕнум

Мој други омиљени алат, такође прикупља и организује податке добијене као резултат локалног набрајања.

Линук-екплоит-суггестер (1,2)

Овај експлоат ће анализирати систем за одговарајуће услове експлоатације. У ствари, он ће обављати посао идентичан Метасплоит модулу лоцал_екплоит_суггестер, али ће понудити везе до екплоит-дб изворних кодова, а не Метасплоит модула.

Линукпривцхецкер

Ова скрипта ће прикупити и организовати у секције велику количину информација које могу бити корисне за формирање вектора за повећање привилегија.

Други пут ћу ићи у детаље подизање привилегија у Линук ОС-у преко суид/сгид.

Извор: ввв.хабр.цом