Português - Ht
HackTricks Training Twitter Linkedin Sponsor

Network Namespace

Aprenda hacking AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!

Outras maneiras de apoiar o HackTricks:

Informações Básicas

Um espaço de rede é um recurso do kernel do Linux que fornece isolamento da pilha de rede, permitindo que cada espaço de rede tenha sua própria configuração de rede independente, interfaces, endereços IP, tabelas de roteamento e regras de firewall. Esse isolamento é útil em vários cenários, como a containerização, onde cada contêiner deve ter sua própria configuração de rede, independente de outros contêineres e do sistema hospedeiro.

Como funciona:

  1. Quando um novo espaço de rede é criado, ele inicia com uma pilha de rede completamente isolada, sem interfaces de rede exceto a interface de loopback (lo). Isso significa que processos em execução no novo espaço de rede não podem se comunicar com processos em outros espaços de nomes ou com o sistema hospedeiro por padrão.

  2. Interfaces de rede virtuais, como pares veth, podem ser criadas e movidas entre espaços de rede. Isso permite estabelecer conectividade de rede entre espaços de nomes ou entre um espaço de nome e o sistema hospedeiro. Por exemplo, uma extremidade de um par veth pode ser colocada no espaço de rede de um contêiner, e a outra extremidade pode ser conectada a uma ponte ou a outra interface de rede no espaço de nome do hospedeiro, fornecendo conectividade de rede ao contêiner.

  3. As interfaces de rede dentro de um espaço de nome podem ter seus próprios endereços IP, tabelas de roteamento e regras de firewall, independentes de outros espaços de nomes. Isso permite que processos em diferentes espaços de rede tenham configurações de rede diferentes e operem como se estivessem sendo executados em sistemas de rede separados.

  4. Os processos podem se mover entre espaços de nomes usando a chamada de sistema setns(), ou criar novos espaços de nomes usando as chamadas de sistema unshare() ou clone() com a flag CLONE_NEWNET. Quando um processo se move para um novo espaço de nome ou cria um, ele começará a usar a configuração de rede e interfaces associadas a esse espaço de nome.

Laboratório:

Criar diferentes Espaços de Nomes

CLI

sudo unshare -n [--mount-proc] /bin/bash
# Run ifconfig or ip -a

Ao montar uma nova instância do sistema de arquivos /proc usando o parâmetro --mount-proc, você garante que o novo namespace de montagem tenha uma visão precisa e isolada das informações de processo específicas daquele namespace.

Erro: bash: fork: Não é possível alocar memória

Quando o unshare é executado sem a opção -f, um erro é encontrado devido à forma como o Linux lida com os novos namespaces de PID (Process ID). Os detalhes-chave e a solução são descritos abaixo:

  1. Explicação do Problema:

  • O kernel do Linux permite que um processo crie novos namespaces usando a chamada de sistema unshare. No entanto, o processo que inicia a criação de um novo namespace de PID (referido como o processo "unshare") não entra no novo namespace; apenas seus processos filhos o fazem.

  • Executar %unshare -p /bin/bash% inicia /bin/bash no mesmo processo que unshare. Consequentemente, /bin/bash e seus processos filhos estão no namespace de PID original.

  • O primeiro processo filho do /bin/bash no novo namespace se torna o PID 1. Quando esse processo sai, ele aciona a limpeza do namespace se não houver outros processos, pois o PID 1 tem o papel especial de adotar processos órfãos. O kernel do Linux então desabilitará a alocação de PID nesse namespace.

  1. Consequência:

  • A saída do PID 1 em um novo namespace leva à limpeza da flag PIDNS_HASH_ADDING. Isso resulta na função alloc_pid falhando ao alocar um novo PID ao criar um novo processo, produzindo o erro "Cannot allocate memory".

  1. Solução:

  • O problema pode ser resolvido usando a opção -f com o unshare. Essa opção faz com que o unshare bifurque um novo processo após criar o novo namespace de PID.

  • Executar %unshare -fp /bin/bash% garante que o comando unshare se torne o PID 1 no novo namespace. /bin/bash e seus processos filhos são então seguramente contidos dentro desse novo namespace, evitando a saída prematura do PID 1 e permitindo a alocação normal de PID.

Ao garantir que o unshare seja executado com a flag -f, o novo namespace de PID é mantido corretamente, permitindo que /bin/bash e seus sub-processos operem sem encontrar o erro de alocação de memória.

Docker

docker run -ti --name ubuntu1 -v /usr:/ubuntu1 ubuntu bash
# Run ifconfig or ip -a

Verifique em qual namespace está o seu processo

ls -l /proc/self/ns/net
lrwxrwxrwx 1 root root 0 Apr  4 20:30 /proc/self/ns/net -> 'net:[4026531840]'

Encontrar todos os namespaces de rede

sudo find /proc -maxdepth 3 -type l -name net -exec readlink {} \; 2>/dev/null | sort -u | grep "net:"
# Find the processes with an specific namespace
sudo find /proc -maxdepth 3 -type l -name net -exec ls -l  {} \; 2>/dev/null | grep <ns-number>

Entrar em um namespace de rede

nsenter -n TARGET_PID --pid /bin/bash

Também, você só pode entrar em outro namespace de processo se for root. E você não pode entrar em outro namespace sem um descritor apontando para ele (como /proc/self/ns/net).

Referências

Aprenda hacking AWS do zero ao herói com htARTE (HackTricks AWS Red Team Expert)!

Outras maneiras de apoiar o HackTricks:

PreviousMount NamespaceNextTime Namespace

Last updated