User Namespace
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Basic Information
'n gebruiker naamruimte is 'n Linux-kernfunksie wat isolasie van gebruiker- en groep-ID-kaartings verskaf, wat elke gebruiker naamruimte toelaat om sy eie stel van gebruiker- en groep-ID's te hê. Hierdie isolasie stel prosesse wat in verskillende gebruiker naamruimtes loop in staat om verskillende voorregte en eienaarskap te hê, selfs al deel hulle dieselfde gebruiker- en groep-ID's numeries.
Gebruiker naamruimtes is veral nuttig in houers, waar elke houer sy eie onafhanklike stel van gebruiker- en groep-ID's moet hê, wat beter sekuriteit en isolasie tussen houers en die gasheerstelsel moontlik maak.
How it works:
Wanneer 'n nuwe gebruiker naamruimte geskep word, begin dit met 'n leë stel van gebruiker- en groep-ID-kaartings. Dit beteken dat enige proses wat in die nuwe gebruiker naamruimte loop, aanvanklik geen voorregte buite die naamruimte sal hê.
ID-kaartings kan gevestig word tussen die gebruiker- en groep-ID's in die nuwe naamruimte en dié in die ouer (of gasheer) naamruimte. Dit laat prosesse in die nuwe naamruimte toe om voorregte en eienaarskap te hê wat ooreenstem met gebruiker- en groep-ID's in die ouer naamruimte. Die ID-kaartings kan egter beperk word tot spesifieke reekse en substelle van ID's, wat fynbeheer oor die voorregte wat aan prosesse in die nuwe naamruimte toegeken word, moontlik maak.
Binne 'n gebruiker naamruimte kan prosesse volle wortelvoorregte (UID 0) hê vir operasies binne die naamruimte, terwyl hulle steeds beperkte voorregte buite die naamruimte het. Dit laat houers toe om met wortelagtige vermoëns binne hul eie naamruimte te loop sonder om volle wortelvoorregte op die gasheerstelsel te hê.
Prosesse kan tussen naamruimtes beweeg deur die
setns()
stelselskakel of nuwe naamruimtes skep deur dieunshare()
ofclone()
stelselskakels met dieCLONE_NEWUSER
vlag. Wanneer 'n proses na 'n nuwe naamruimte beweeg of een skep, sal dit begin om die gebruiker- en groep-ID-kaartings wat met daardie naamruimte geassosieer is, te gebruik.
Lab:
Create different Namespaces
CLI
Deur 'n nuwe instansie van die /proc
lêerstelsel te monteer as jy die parameter --mount-proc
gebruik, verseker jy dat die nuwe monteernaamruimte 'n akkurate en geïsoleerde siening van die prosesinligting spesifiek vir daardie naamruimte het.
Docker
Om die gebruikersnaamruimte te gebruik, moet die Docker-daemon begin word met --userns-remap=default
(In ubuntu 14.04 kan dit gedoen word deur /etc/default/docker
te wysig en dan sudo service docker restart
uit te voer)
Kontroleer in watter naamruimte jou proses is
Dit is moontlik om die gebruikerskaart vanaf die docker-container te kontroleer met:
Of van die gasheer met:
Vind alle gebruikersname ruimtes
Gaan binne 'n Gebruiker-namespace in
Ook, jy kan slegs in 'n ander prosesnaamruimte ingaan as jy root is. En jy kan nie ingaan in 'n ander naamruimte sonder 'n beskrywer wat daarna verwys nie (soos /proc/self/ns/user
).
Skep nuwe Gebruiker naamruimte (met kaarte)
Herwinning van Vermoëns
In die geval van gebruikersname ruimtes, wanneer 'n nuwe gebruikersnaam ruimte geskep word, word die proses wat in die ruimte ingaan 'n volle stel vermoëns binne daardie ruimte toegestaan. Hierdie vermoëns stel die proses in staat om bevoorregte operasies uit te voer soos montering van lêerstelsels, die skep van toestelle, of die verandering van eienaarskap van lêers, maar slegs binne die konteks van sy gebruikersnaam ruimte.
Byvoorbeeld, wanneer jy die CAP_SYS_ADMIN
vermoë binne 'n gebruikersnaam ruimte het, kan jy operasies uitvoer wat tipies hierdie vermoë vereis, soos om lêerstelsels te monteer, maar slegs binne die konteks van jou gebruikersnaam ruimte. Enige operasies wat jy met hierdie vermoë uitvoer, sal nie die gasheerstelsel of ander naam ruimtes beïnvloed nie.
Daarom, selfs al sal die verkryging van 'n nuwe proses binne 'n nuwe gebruikersnaam ruimte jou al die vermoëns teruggee (CapEff: 000001ffffffffff), kan jy eintlik slegs diegene wat met die ruimte verband hou gebruik (montering byvoorbeeld) maar nie elkeen nie. So, dit op sigself is nie genoeg om uit 'n Docker houer te ontsnap nie.
Last updated