Bypass FS protections: read-only / no-exec / Distroless
Se você está interessado em carreira de hacking e hackear o inquebrável - estamos contratando! (fluência em polonês escrito e falado é necessária).
Vídeos
Nos seguintes vídeos, você pode encontrar as técnicas mencionadas nesta página explicadas de forma mais aprofundada:
Cenário de somente leitura / sem execução
É cada vez mais comum encontrar máquinas Linux montadas com proteção de sistema de arquivos somente leitura (ro), especialmente em contêineres. Isso ocorre porque executar um contêiner com sistema de arquivos ro é tão fácil quanto definir readOnlyRootFilesystem: true no securitycontext:
No entanto, mesmo que o sistema de arquivos seja montado como ro, /dev/shm ainda será gravável, então é falso que não podemos escrever nada no disco. No entanto, esta pasta será montada com proteção no-exec, então se você baixar um binário aqui, não poderá executá-lo.
Do ponto de vista de uma equipe vermelha, isso torna complicado baixar e executar binários que não estão no sistema (como backdoors ou enumeradores como kubectl).
Bypass mais fácil: Scripts
Observe que mencionei binários, você pode executar qualquer script desde que o interpretador esteja dentro da máquina, como um script de shell se sh estiver presente ou um script python se python estiver instalado.
No entanto, isso não é suficiente para executar seu backdoor binário ou outras ferramentas binárias que você possa precisar executar.
Bypasses de Memória
Se você deseja executar um binário, mas o sistema de arquivos não permite, a melhor maneira de fazer isso é executá-lo da memória, pois as proteções não se aplicam lá.
Bypass de chamada de sistema FD + exec
Se você tiver mecanismos de script poderosos dentro da máquina, como Python, Perl ou Ruby, você pode baixar o binário para executar da memória, armazená-lo em um descritor de arquivo de memória (create_memfd syscall), que não será protegido por essas proteções e então chamar um exec syscall indicando o fd como o arquivo a ser executado.
Para isso, você pode facilmente usar o projeto fileless-elf-exec. Você pode passar a ele um binário e ele irá gerar um script na linguagem indicada com o binário comprimido e codificado em b64 com as instruções para decodificar e descomprimir em um fd criado chamando a syscall create_memfd e uma chamada à syscall exec para executá-lo.
Isso não funciona em outras linguagens de script como PHP ou Node porque eles não têm nenhuma maneira padrão de chamar chamadas de sistema brutas de um script, então não é possível chamar create_memfd para criar o fd de memória para armazenar o binário.
Além disso, criar um fd regular com um arquivo em /dev/shm não funcionará, pois você não terá permissão para executá-lo porque a proteção no-exec será aplicada.
DDexec / EverythingExec
DDexec / EverythingExec é uma técnica que permite que você modifique a memória do seu próprio processo sobrescrevendo seu /proc/self/mem.
Portanto, controlando o código de montagem que está sendo executado pelo processo, você pode escrever um shellcode e "mutar" o processo para executar qualquer código arbitrário.
DDexec / EverythingExec permitirá que você carregue e execute seu próprio shellcode ou qualquer binário da memória.
MemExec
Memexec é o próximo passo natural do DDexec. É um shellcode demonizado do DDexec, então toda vez que você quiser executar um binário diferente não precisa reiniciar o DDexec, você pode simplesmente executar o shellcode memexec via a técnica DDexec e então comunicar-se com esse daemon para passar novos binários para carregar e executar.
Você pode encontrar um exemplo de como usar o memexec para executar binários a partir de um shell reverso PHP em https://github.com/arget13/memexec/blob/main/a.php.
Memdlopen
Com um propósito semelhante ao DDexec, a técnica memdlopen permite uma maneira mais fácil de carregar binários na memória para executá-los posteriormente. Isso poderia até permitir carregar binários com dependências.
Bypass do Distroless
O que é distroless
Contêineres distroless contêm apenas os componentes mínimos necessários para executar um aplicativo ou serviço específico, como bibliotecas e dependências de tempo de execução, mas excluem componentes maiores como um gerenciador de pacotes, shell ou utilitários do sistema.
O objetivo dos contêineres distroless é reduzir a superfície de ataque dos contêineres eliminando componentes desnecessários e minimizando o número de vulnerabilidades que podem ser exploradas.
Shell Reverso
Em um contêiner distroless, você pode nem mesmo encontrar sh ou bash para obter um shell regular. Você também não encontrará binários como ls, whoami, id... tudo o que você costuma executar em um sistema.
Portanto, você não conseguirá obter um shell reverso ou enumerar o sistema como costuma fazer.
No entanto, se o contêiner comprometido estiver executando, por exemplo, um aplicativo web flask, então o Python está instalado e, portanto, você pode obter um shell reverso em Python. Se estiver executando node, você pode obter um shell reverso em Node, e o mesmo com quase qualquer linguagem de script.
Usando a linguagem de script, você poderia enumerar o sistema usando as capacidades da linguagem.
Se não houver proteções somente leitura/sem execução, você poderia abusar do seu shell reverso para escrever no sistema de arquivos seus binários e executá-los.
No entanto, nesse tipo de contêineres, essas proteções geralmente existirão, mas você poderia usar as técnicas de execução de memória anteriores para contorná-las.
Você pode encontrar exemplos de como explorar algumas vulnerabilidades de RCE para obter shells reversos de linguagens de script e executar binários da memória em https://github.com/carlospolop/DistrolessRCE.
Se você está interessado em uma carreira em hacking e hackear o inquebrável - estamos contratando! (fluência em polonês escrita e falada necessária).
Last updated
