User Namespace
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Um namespace de usuário é um recurso do kernel Linux que fornece isolamento de mapeamentos de ID de usuário e grupo, permitindo que cada namespace de usuário tenha seu próprio conjunto de IDs de usuário e grupo. Esse isolamento permite que processos em diferentes namespaces de usuário tenham privilégios e propriedade diferentes, mesmo que compartilhem os mesmos IDs de usuário e grupo numericamente.
Namespaces de usuário são particularmente úteis na containerização, onde cada contêiner deve ter seu próprio conjunto independente de IDs de usuário e grupo, permitindo melhor segurança e isolamento entre contêineres e o sistema host.
Quando um novo namespace de usuário é criado, ele começa com um conjunto vazio de mapeamentos de ID de usuário e grupo. Isso significa que qualquer processo executando no novo namespace de usuário inicialmente não terá privilégios fora do namespace.
Mapeamentos de ID podem ser estabelecidos entre os IDs de usuário e grupo no novo namespace e aqueles no namespace pai (ou host). Isso permite que processos no novo namespace tenham privilégios e propriedade correspondentes aos IDs de usuário e grupo no namespace pai. No entanto, os mapeamentos de ID podem ser restritos a intervalos e subconjuntos específicos de IDs, permitindo um controle mais detalhado sobre os privilégios concedidos aos processos no novo namespace.
Dentro de um namespace de usuário, processos podem ter privilégios de root completos (UID 0) para operações dentro do namespace, enquanto ainda têm privilégios limitados fora do namespace. Isso permite que contêineres sejam executados com capacidades semelhantes a root dentro de seu próprio namespace sem ter privilégios de root completos no sistema host.
Processos podem se mover entre namespaces usando a chamada de sistema setns() ou criar novos namespaces usando as chamadas de sistema unshare() ou clone() com a flag CLONE_NEWUSER. Quando um processo se move para um novo namespace ou cria um, ele começará a usar os mapeamentos de ID de usuário e grupo associados a esse namespace.
Ao montar uma nova instância do sistema de arquivos /proc se você usar o parâmetro --mount-proc, você garante que o novo namespace de montagem tenha uma visão precisa e isolada das informações do processo específicas para aquele namespace.
Para usar o namespace de usuário, o daemon do Docker precisa ser iniciado com --userns-remap=default (No ubuntu 14.04, isso pode ser feito modificando /etc/default/docker e, em seguida, executando sudo service docker restart)
É possível verificar o mapa de usuários do contêiner docker com:
Ou do host com:
Além disso, você só pode entrar em outro namespace de processo se você for root. E você não pode entrar em outro namespace sem um descritor apontando para ele (como /proc/self/ns/user).
No caso de namespaces de usuário, quando um novo namespace de usuário é criado, o processo que entra no namespace recebe um conjunto completo de capacidades dentro desse namespace. Essas capacidades permitem que o processo execute operações privilegiadas, como montar sistemas de arquivos, criar dispositivos ou alterar a propriedade de arquivos, mas apenas dentro do contexto do seu namespace de usuário.
Por exemplo, quando você tem a capacidade CAP_SYS_ADMIN dentro de um namespace de usuário, pode realizar operações que normalmente exigem essa capacidade, como montar sistemas de arquivos, mas apenas dentro do contexto do seu namespace de usuário. Quaisquer operações que você realizar com essa capacidade não afetarão o sistema host ou outros namespaces.
Portanto, mesmo que obter um novo processo dentro de um novo namespace de usuário te dará todas as capacidades de volta (CapEff: 000001ffffffffff), você na verdade só pode usar as relacionadas ao namespace (montar, por exemplo), mas não todas. Assim, isso por si só não é suficiente para escapar de um contêiner Docker.
hacking tricks by submitting PRs to the** HackTricks and HackTricks Cloud github repos.
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
