搜索

[29133] 2021-08-27_【渗透测试】Linux提权：Python库劫持

文档创建者：s7ckTeam
浏览次数：83
最后更新：2025-01-19
2021-08-27_【渗透测试】Linux提权：Python库劫持 【 渗 透 测 试 】 L i n u x   提 权 ： P y t h o n   库 劫 持 P a v a n d e e p   S i n g h   O t s 安 全   2 0 2 1 - 0 8 - 2 7 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 介 绍 介 绍 通 常 ， 每 当 在 具 有   p y t h o n   文 件 的 环 境 中 引 入 攻 击 者 时 。 攻 击 者 可 以 用 来 提 升 其 访 问 权 限 的 选 项 是 有 限 的 。 我 们 将 在 本 文 中 发 现   3   种 方 法 。 一 些 错 误 配 置 包 括 写 入 权 限 、 s u d o   权 限 和 编 辑 路 径 变 量 。 P y t h o n 脚 本 创 建 脚 本 创 建 为 了 演 示 使 用   p y t h o n   脚 本 提 升 权 限 的 操 作 ， 我 们 创 建 了 一 个 导 入 一 些 库 的 示 例 脚 本 。 在 现 实 生 活 中 ， 这 可 以 是 一 群 开 发 人 员 正 在 开 发 的 通 用   P y t h o n   脚 本 或 项 目 。 在 夺 旗 场 景 中 ， 这 些 很 容 易 找 到 ， 并 且 可 能 包 含 与 此 类 似 的 脚 本 。 该 脚 本 导 入   w e b b r o w s e r   模 块 ， 然 后 继 续 使 用 o p e n   函 数 运 行 设 备 上 的 默 认   W e b   浏 览 器 以 打 开   h a c k i n g a r t i c l e s   网 页 。 为 了 查 看 脚 本 是 如 何 工 作 的 ， 我 们 运 行 脚 本 并 发 现   W e b   浏 览 器 打 开 了   h a c k i n g a r i c l e s   网 页 ， 如 下 所 示 。 方 法 一 方 法 一 此 漏 洞 基 于 应 用 于 脚 本 导 入 的 模 块 文 件 的 权 限 。 当 正 在 导 入 的 模 块 文 件 具 有 允 许 任 何 用 户 进 行 编 辑 的 权 限 时 ， 它 就 会 成 为 一 个 漏 洞 。 在 我 们 n a n o   h a c k . p y i m p o r t   w e b b r o w s e r w e b b r o w s e r . o p e n ( " h t t p s : / / h a c k i n g a r t i c l e s . i n " ) c a t   h a c k . p y p y t h o n 3   h a c k . p y
创 建 的 p y t h o n 脚 本 中 ； 我 们 有 被 调 用 的   w e b b r o w s e r . p y   模 块 文 件 。 当 您 拥 有 一 个 具 有 所 有 默 认 权 限 的 未 更 改 环 境 时 ， 这 不 是 问 题 ， 但 在 开 发 环 境 中 ， 往 往 会 因 次 要 便 利 而 牺 牲 一 些 安 全 性 。 为 了 更 好 地 了 解 后 台 发 生 了 什 么 ， 哪 些 权 限 会 导 致 权 限 提 升 ， 我 们 将 首 先 在 我 们 的   u b u n t u 环 境 中 创 建 漏 洞 ， 然 后 使 用   K a l i   L i n u x   来 利 用 此 漏 洞 。   漏 洞 创 建 漏 洞 创 建 如 前 所 述 ， 在 这 种 方 法 中 ， 漏 洞 基 于 模 块 文 件 的 权 限 。 要 创 建 此 漏 洞 ， 我 们 需 要 先 定 位 模 块 文 件 。 我 们 使 用   l o c a t e   命 令 来 找 到 它 。 我 们 看 到 它 位 于 / u s r / l i b / p y t h o n 3 . 8 / 里 面 。 这 可 能 因 安 装 而 异 。 因 此 ， 请 尝 试 在 您 的 环 境 中 找 到 它 。 然 后 我 们 可 以 看 到 ， 模 块 文 件 默 认 的 权 限 是 拥 有 者 的 读 、 写 、 执 行 权 限 ， 组 的 执 行 和 读 取 权 限 ， 只 有 其 他 的 执 行 权 限 。 这 意 味 着 除 非 用 户 是   r o o t ， 否 则 它 不 能 编 辑 文 件 。 为 了 创 建 漏 洞 ， 我 们 更 改 了 权 限 ， 以 便 每 个 用 户 都 可 以 读 取 、 写 入 和 执 行 这 些 权 限 。 这 可 以 从 下 图 验 证 。 使 我 们 的 机 器 易 受 攻 击 的 下 一 个 任 务 是 提 供 一 种 运 行   p y t h o n   脚 本 的 方 法 。 最 简 单 的 方 法 是 在   s u d o e r s   文 件 中 创 建 一 个 条 目 ， 以 便 攻 击 者 （ 可 以 访 问 用 户   p a v a n ） 能 够 执 行 我 们 创 建 的   p y t h o n   脚 本   ( h a c k . p y ) l o c a t e   w e b b r o w s e r . p y l s   - l a   / u s r / l i b / p y t h o n 3 . 8 / w e b b r o w s e r . p y s u d o   c h m o d   7 7 7   / u s r / l i b / p y t h o n 3 . 8 / w e b b r o w s e r . p y l s   - l a   / u s r / l i b / p y t h o n 3 . 8 / w e b b r o w s e r . p y n a n o   / e t c / s u d o e r s p a v a n   A L L = ( r o o t )   N O P A S S W D :   / u s r / b i n / p y t h o n 3 . 8   / h o m e / p e n t e s t / h a c k . p y
这 是 一 个 完 整 的 过 程 ， 使 机 器 容 易 受 到   P y t h o n   库 劫 持 。 没 有 提 到 的 所 有 配 置 都 设 置 为 L i n u x 的 默 认 值 。 没 有 进 行 任 何 其 他 更 改 。 是 时 候 冒 充 攻 击 者 了 。 开 发 开 发 漏 洞 利 用 不 会 包 含 在 目 标 机 器 上 获 得 初 始 立 足 点 的 方 法 。 它 将 包 含 在 攻 击 者 获 得 初 始 立 足 点 后 提 升 特 权 的 方 法 。 为 了 刺 激 这 一 点 ， 我 们 作 为 用 户   p a v a n   连 接 到 目 标 机 器 。 作 为 任 何 需 要 提 升 权 限 的 攻 击 者 ， 我 们 运 行   s u d o   - l   命 令 来 查 看 我 们 可 以 使 用 提 升 的 访 问 权 限 运 行 哪 些 脚 本 或 二 进 制 文 件 。 我 们 看 到 可 以 使 用 p y t h o n 3 . 8 来 运 行 h a c k . p y 。 作 为 攻 击 者 ， 我 们 使 用   c a t   命 令 调 查 脚 本 以 查 看 它 是 否 正 在 通 过   w e b b r o w s e r   的 名 称 导 入 模 块 。 我 们 使 用 l o c a t e 命 令 查 找 模 块 的 位 置 ， 发 现 它 位 于 / u s r / l i b / p y t h o n 3 . 8 里 面 。 接 下 来 ， 我 们 检 查 模 块 的 权 限 ， 发 现 它 可 由 我 们 有 权 访 问 的   p a v a n   用 户 写 入 。 s s h   p a v a n @ 1 9 2 . 1 6 8 . 1 . 4 6 s u d o   - l c a t   / h o m e / p e n t e s t / h a c k . p y l o c a t e   w e b b r o w s e r . p y l s   - l a   / u s r / l i b / p y t h o n 3 . 8 / w e b b r o w s e r . p y
我 们 使 用   n a n o   编 辑 器 打 开 模 块 文 件 ， 并 在   h a c k . p y   文 件 调 用 的 函 数 中 添 加 了   p y t h o n   反 向   s h e l l   脚 本 。 我 们 之 前 看 到 它 在 浏 览 器 中 打 开 了 一 个 网 页 。 因 此 ， 它 将 使 用   o p e n   函 数 。 因 此 ， 我 们 将 添 加 如 下 所 示 的 反 向   s h e l l c o d e 。 n a n o   / u s r / l i b / p y t h o n 3 . 8 / w e b b r o w s e r . p y
编 辑 完 模 块 文 件 后 ， 我 们 保 存 并 关 闭 编 辑 器 。 回 到   K a l i   L i n u x   控 制 台 ， 我 们 在 反 向   s h e l l   脚 本 中 提 到 的 端 口 上 打 开 一 个   N e t c a t   侦 听 器 ， 然 后 以   p a v a n   用 户 身 份 返 回   s h e l l   并 使 用   s u d o   执 行   h a c k . p y   脚 本 ， 如 图 所 示 。 一 旦 脚 本 运 行 ， 我 们 就 会 看 到 一 个 会 话 连 接 到 我 们 的   N e t c a t   侦 听 器 。 w h o a m i   命 令 阐 明 了 我 们 拥 有 的 会 话 是 针 对 目 标 机 器 上 的   r o o t   用 户 的 。 我 们 已 经 成 功 地 将 权 限 从   p a v a n   用 户 提 升 到 了   r o o t   用 户 。 方 法 二 方 法 二 此 漏 洞 基 于   P y t h o n   库 路 径 的 优 先 级 顺 序 ， 该 路 径 应 用 于 我 们 的 脚 本 正 在 导 入 的 模 块 文 件 。 在 脚 本 中 导 入 模 块 时 ， P y t h o n   将 在 默 认 目 录 中 按 特 定 优 先 级 顺 序 查 找 特 定 模 块 文 件 。 在 我 们 创 建 的 p y t h o n 脚 本 中 ； 我 们 有 被 调 用 的   w e b b r o w s e r . p y   模 块 文 件 。 正 在 搜 索 的 模 块 将 位 于 默 认 路 s u d o   / u s r / b i n / p y t h o n 3 . 8   / h o m e / p e n t e s t / h a c k . p y n c   - l v p   1 2 3 4 w h o a m i
径 之 一 。 尽 管 如 果 在 与 原 始 脚 本 相 同 的 目 录 中 存 在   p y t h o n   模 块 文 件 ， 它 将 优 先 于 默 认 路 径 。 为 了 更 好 地 了 解 后 台 发 生 了 什 么 ， 它 是 如 何 导 致 权 限 提 升 的 ， 我 们 将 首 先 在 我 们 的   u b u n t u   环 境 中 创 建 该 漏 洞 ， 然 后 使 用   K a l i   L i n u x   来 利 用 该 漏 洞 。   漏 洞 创 建 漏 洞 创 建 如 前 所 述 ， 在 这 种 方 法 中 ， 漏 洞 基 于 模 块 文 件 执 行 的 优 先 级 顺 序 。 要 创 建 此 漏 洞 ， 首 先 ， 我 们 需 要 恢 复 之 前 创 建 的 易 受 攻 击 的 权 限 。 这 样 这 台 机 器 就 不 会 以 多 种 方 式 受 到 攻 击 。 我 们 更 改   w e b b r o w s e r . p y   的 权 限 。 接 下 来 ， 我 们 回 到 之 前 创 建 的   p y t h o n   脚 本 。 我 们 可 以 看 到 它 位 于   p a v a n   用 户 的 家 中 ， 它 仍 然 包 含 与 我 们 开 始 时 相 同 的 代 码 。 它 仍 然 导 入 w e b b r o w s e r   模 块 。 由 于 我 们 将 脚 本 从   p e n t e s t   用 户 主 目 录 移 动 到   p a v a n   用 户 的 主 目 录 ， 我 们 还 需 要 在   s u d o e r s   文 件 中 进 行 更 改 ， 以 便 它 包 含 脚 本   h a c k . p y   的 正 确 路 径 。 l s - l a   / u s r / l i b / p y t h o n 3 . 8 / w e b b r o w s e r . p y l s c a t   h a c k . p y n a n o   / e t c / s u d o e r s p a v a n   A L L = ( r o o t )   N O P A S S W D :   / u s r / b i n / p y t h o n 3 . 8   / h o m e / p a v a n / h a c k . p y
这 是 一 个 完 整 的 过 程 ， 使 机 器 容 易 受 到   P y t h o n   库 劫 持 。 没 有 提 到 的 所 有 配 置 都 设 置 为 L i n u x 的 默 认 值 。 没 有 进 行 任 何 其 他 更 改 。 是 时 候 冒 充 攻 击 者 了 。 开 发 开 发 同 样 ， 利 用 不 会 包 含 在 目 标 机 器 上 获 得 初 始 立 足 点 的 方 法 。 它 将 包 含 在 攻 击 者 获 得 初 始 立 足 点 后 提 升 特 权 的 方 法 。 为 了 刺 激 这 一 点 ， 我 们 作 为 用 户   p a v a n   连 接 到 目 标 机 器 。 作 为 任 何 需 要 提 升 权 限 的 攻 击 者 ， 我 们 运 行   s u d o   - l   命 令 来 查 看 我 们 可 以 使 用 提 升 的 访 问 权 限 运 行 哪 些 脚 本 或 二 进 制 文 件 。 我 们 看 到 可 以 使 用 p y t h o n 3 . 8 来 运 行 h a c k . p y 。 作 为 攻 击 者 ， 我 们 使 用   c a t   命 令 调 查 脚 本 以 查 看 它 是 否 正 在 通 过   w e b b r o w s e r   的 名 称 导 入 模 块 。 s s h   p a v a n @ 1 9 2 . 1 6 8 . 1 . 4 6 s u d o   - l l s c a t   h a c k . p y
由 于   h a c k . p y   位 于   p a v a n   用 户 的 主 目 录 中 ， 并 且 我 们 以   p a v a n   用 户 的 身 份 访 问 ， 因 此 我 们 可 以 在 主 目 录 中 创 建 一 个 文 件 。 在 这 种 情 况 下 ， 需 要 注 意 的 是 我 们 无 法 编 辑   h a c k . p y   文 件 。 如 果 是 这 种 情 况 ， 我 们 将 直 接 编 辑 该 文 件 并 在 其 中 添 加 一 个 反 向   s h e l l c o d e ， 但 在 这 种 情 况 下 ， 我 们 将 创 建 一 个   w e b b r o w s e r . p y   文 件 。 我 们 将 在 我 们 刚 刚 创 建 的   w e b b r o w s e r . p y   文 件 中 添 加   p y t h o n   反 向   s h e l l c o d e 。 接 下 来 ， 我 们 需 要 在 我 们 在 反 向   s h e l l c o d e   中 提 到 的 端 口 上 运 行 一 个   N e t c a t   侦 听 器 。 然 后 我 们 将 继 续 使 用   s u d o   执 行   h a c k . p y   脚 本 。 一 旦 脚 本 运 行 ， 我 们 就 会 看 到 一 个 会 话 连 接 到 我 们 的   N e t c a t   侦 听 器 。 i d   命 令 阐 明 了 我 们 拥 有 的 会 话 是 针 对 目 标 机 器 上 的   r o o t   用 户 的 。 我 们 已 经 成 功 地 将 权 限 从   p a v a n   用 户 提 升 到 了   r o o t   用 户 。 n a n o   w e b b r o w s e r . p y c a t   w e b b r o w s e r . p y s u d o   / u s r / b i n / p y t h o n 3 . 8   / h o m e / p a v a n / h a c k . p y n c   - l v p   1 2 3 4 i d
方 法 三 方 法 三 此 漏 洞 基 于 通 过   P y t h o n   P A T H   环 境 变 量 搜 索 的   P y t h o n   库 。 这 个 变 量 包 含 一 个 目 录 列 表 ， p y t h o n   在 其 中 搜 索 导 入 模 块 的 不 同 目 录 。 如 果 攻 击 者 可 以 更 改 或 修 改 该 变 量 ， 则 他 们 可 以 使 用 它 来 提 升 目 标 机 器 上 的 权 限 。 为 了 更 好 地 了 解 后 台 发 生 了 什 么 ， 它 是 如 何 导 致 权 限 提 升 的 ， 我 们 将 首 先 在 我 们 的   u b u n t u   环 境 中 创 建 该 漏 洞 ， 然 后 使 用   K a l i   L i n u x   来 利 用 该 漏 洞 。   漏 洞 创 建 漏 洞 创 建 如 前 所 述 ， 这 种 方 法 的 漏 洞 是 基 于 环 境 路 径 变 量 的 。 要 创 建 此 漏 洞 ， 首 先 ， 我 们 需 要 恢 复 之 前 创 建 的 易 受 攻 击 的 权 限 。 这 样 这 台 机 器 就 不 会 以 多 种 方 式 受 到 攻 击 。 我 们 在   t m p   目 录 中 创 建   h a c k . p y   脚 本 。 我 们 可 以 验 证 脚 本 的 内 容 和 之 前 的 一 样 。 接 下 来 ， 我 们 需 要 在   s u d o e r s   文 件 中 进 行 一 些 更 改 。 首 先 ， 我 们 将 文 件 的 位 置 更 改 为   / t m p   目 录 ， 然 后 将   S E T E N V   标 记 添 加 到 文 件 中 。 这 意 味 着   p a v a n   用 户 可 以 使 用 具 有   s u d o   权 限 的   S E T E V   命 令 ， 而 无 需 输 入   r o o t   密 码 。 S E T E N V   是 一 种 工 具 ， 它 可 以 更 改   P Y T H O N P A T H   环 境 变 量 的 值 ， 以 将 任 何 位 置 包 含 到 我 们 在 前 面 的 方 法 中 学 到 的 执 行 顺 序 中 。 c d   / t m p l s c a t   h a c k . p y n a n o   / e t c / s u d o e r s p a v a n   A L L = ( r o o t )   N O P A S S W D : S E T E N V     / u s r / b i n / p y t h o n 3 . 8   / t m p / h a c k . p y
这 是 使 机 器 容 易 受 到   P y t h o n   库 劫 持 的 完 整 过 程 。 没 有 提 到 的 所 有 配 置 都 设 置 为 L i n u x 的 默 认 值 。 没 有 进 行 任 何 其 他 更 改 。 是 时 候 冒 充 攻 击 者 了 。 开 发 开 发 同 样 ， 利 用 不 会 包 含 在 目 标 机 器 上 获 得 初 始 立 足 点 的 方 法 。 它 将 包 含 在 攻 击 者 获 得 初 始 立 足 点 后 提 升 特 权 的 方 法 。 为 了 刺 激 这 一 点 ， 我 们 作 为 用 户   p a v a n   连 接 到 目 标 机 器 。 作 为 任 何 需 要 提 升 权 限 的 攻 击 者 ， 我 们 运 行   s u d o   - l   命 令 来 查 看 我 们 可 以 使 用 提 升 的 访 问 权 限 运 行 哪 些 脚 本 或 二 进 制 文 件 。 我 们 看 到 我 们 可 以 使 用 具 有 提 升 访 问 权 限 的   S E T E V 。 这 意 味 着 我 们 可 以 使 用 它 来 改 变 导 入 模 块 的 优 先 级 顺 序 。 由 于   h a c k . p y 位 于   / t m p   目 录 中 ， 我 们 进 入 它 并 检 查   h a c k . p y   脚 本 。 由 于 它 正 在 导 入   w e b b r o w s e r   模 块 ， 我 们 首 先 将 创 建 一 个 名 为   w e b b r o w s e r . p y   的 恶 意 模 块 文 件 ， 然 后 使 用 更 改 环 境 变 量   P Y T H O N P A T H   的 功 能 ， 我 们 将 创 建 一 个 条 目 以 包 含 我 们 的 恶 意 模 块 文 件 。 恶 意 模 块 文 件 包 含 反 向 s h e l l c o d e 。 我 们 在 脚 本 中 提 到 的 相 同 端 口 上 启 动 一 个   N e t c a t   侦 听 器 ， 然 后 继 续 将   / t m p   目 录 添 加 到   P y t h o n   路 径 中 ， 然 后 执 行   h a c k . p y   文 件 以 提 升 我 们 的 访 问 权 限 。 一 旦 脚 本 运 行 ， 我 们 就 会 看 到 一 个 会 话 连 接 到 我 们 的   N e t c a t   侦 听 器 。 w h o a m i   命 令 阐 明 了 我 们 拥 有 的 会 话 是 针 对 目 标 机 器 上 的   r o o t   用 户 的 。 s s h   p a v a n @ 1 9 2 . 1 6 8 . 1 . 4 6 s u d o   - l c d   / t m p l s c a t   h a c k . p y n a n o   w e b b r o w s e r . p y c a t   w e b b r o w s e r . p y s u d o   P Y T H O N P A T H = / t m p /   / u s r / b i n / p y t h o n 3 . 8     / t m p / h a c k . p y
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理