grep0 18 авг 2010 в 22:06

Эскалация привилегий в десктопном линуксе: Получение рутового доступа из GUI-приложений

4 мин

2.1K

Информационная безопасность*

+85

Комментарии 56

amarao 18 авг 2010 в 22:37

круто, круто. Достойный ответ LNK от майкрософта.

PS А почему SELinux не спасёт?

grep0 18 авг 2010 в 22:41

Так мы ничего подозрительного не делаем, совершенно стандартный паттерн — выделить кусок разделяемой памяти под растровую картинку и отдать его X-серверу.

amarao 18 авг 2010 в 22:48

Имеется в виду после эксплоита. Как бы не характерно, чтобы X-сервер что-то постороннее читал/писал.

grep0 18 авг 2010 в 22:57

Ну в этом смысле да.

Lsh 19 авг 2010 в 00:20

Вот я тоже не понял.
Если X'ы «завернуть» AppArmor'ом или SELinux'ом, то злоумышленник сможет только уронить X'ы или не только?
Писать им почти никуда не надо, запускать особо тоже ничего не надо, можно ограничить по полной программе.
Т.е. после получения контроля над процессом X-сервера не будет возможности что-то сломать кроме самих X'ов, т.е. просто грохнуть сессию пользователя.

Или все таки можно больше?

amarao 19 авг 2010 в 00:42

Ну, если теоретизировать, то можно посылать всякие мерзкие комбинации кнопок в окна и сниффить ввод (правда, отсылать не особо получится, но по характеру взлома — вполне можно через userspace). В принципе, для десктопа этого достаточно, чтобы сказать «ой, плохо-плохо».

xsubst 19 авг 2010 в 12:43

Ну AppArmor/SELinux, я так понимаю, поднимает свои X'ы, которые общаются с системными. Если получить контроль над завернутыми X'ами, то можно атаковать реальные.

Lsh 19 авг 2010 в 12:56

Быр-быр-быр…

Какие X'ы?
Ни один из них ничего не поднимает и ничего подобного не делает. Прочитайте про то что это.

xsubst 19 авг 2010 в 14:10

>>Если X'ы «завернуть» AppArmor'ом или SELinux'ом, то злоумышленник сможет только уронить X'ы или не только?

Ну что собственно «заворачивается»? X-сервер. Нет?
Этому «завернутому» X-серверу все запрещено.
Но «на экран» он выводит через «системный» X-сервер.
И может его атаковать. Нет?

Lsh 19 авг 2010 в 14:34

Видимо я зря употребил слово «заворачивается», хотя и поставил в кавычках.
Имел в виду что к X-серверу применяется профиль AppArmor («заворачивается» — «ограничивается»).
Т.е. есть один X сервер, который ограничен в своих действиях.

fenrirgray 19 авг 2010 в 02:17

Мне кажется они ошибаются, говоря что она не спасает. От эксплойта самого по себе — наверняка нет, но последствий просто никаких не будет. По крайней мере я не вижу как в рамках этого эксплойта можно было бы обойти защиту.

ivanrt 19 авг 2010 в 03:55

Один способ:
Слушать пароли самое легкое в данной ситуации. Далее черная магия: найти окно браузера и послать туда ссылку с вашим паролем, может даже незаметно.

-1

ivanrt 19 авг 2010 в 04:08

Ладно, лажу сказал. Правда возможно такими образом при удаленной атаке на браузер можно убежать из песочницы браузера и получить возможности обычного шела — найти открытый терминал и слать туда команды получая их от процесса браузера.

-1

НЛО прилетело и опубликовало эту надпись здесь

fenrirgray 19 авг 2010 в 02:27

Дефолтный ASLR на самом деле не спасает, нужен какой нибудь PaX, которого практически нигде нету кроме hardened gentoo.

вот например: lwn.net/Articles/330866/

НЛО прилетело и опубликовало эту надпись здесь

grep0 18 авг 2010 в 22:54

В 64 битах надо немного извратиться, чтобы забить все адресное пространство. В статье предлагают насоздавать на сервере пиксмапов максимального размера 32K*32K, а поскольку реально в x86-64 используется только 49 адресных бит, таких пиксмапов надо совсем немного — всего несколько десятков тысяч.

НЛО прилетело и опубликовало эту надпись здесь

xsubst 19 авг 2010 в 12:03

Нет, оно только резервируется.
Автор в статье пишет, что ему потребовалось около 800 мб памяти.

Malamut 18 авг 2010 в 22:51

Да, круто. С другой стороны везде есть дыры. Не зря же иксы перетаскивают под пользователя, а все уважающие себя серверы работают через chroot окружение от рута)))

posix 19 авг 2010 в 01:21

хабр такой хабр. в статье об эскалации прав юзера до рута из иксов, человек важно замечает, что не зря иксы перетаскивают под пользователя. и главное скобочек побольше ставьте, здесь это любят.

fogx 19 авг 2010 в 09:38

C помощью данного эксплоита юзер выполняет свой код в контексте процесса иксов. Если иксы работают от рута — будет рут. Поэтому таки да,
не зря иксы перетаскивают под пользователя.

snizovtsev 18 авг 2010 в 23:02

Я так понимаю с этим фиксом теперь вместо уязвимости будет падение иксов?

z123 18 авг 2010 в 23:18

похоже на то. более того, я так понимаю, выполнение процедуры «нагромоздить обычными средствами X-протокола пирамиду из виджетов, а потом отправить команду, которая вызовет рекурсивный обход» в любом случае приведёт к падению иксов, дело лишь в глубине рекурсии

jcmvbkbc 18 авг 2010 в 23:17

Изначально на стек отводится (на x86-32) участок памяти в верхней части адресного пространства, по умолчанию 128 Mбайт

# ulimit -a | grep stack
stack size (kbytes, -s) 10240

НЛО прилетело и опубликовало эту надпись здесь

Zert 19 авг 2010 в 00:00

> Линус Торвальдс (лично!) добавил патч

Почему-то сразу вспоминается Путин, лично тушащий пожар с самолёта-амбиции :)

+30

НЛО прилетело и опубликовало эту надпись здесь

bigdogsru 19 авг 2010 в 04:52

Это «оговорка по Фрейду»

anight 19 авг 2010 в 06:18

— Папа, мне сегодня приснился Путин, ломающий X сервер!!!
— … А бывают просто сны, дочка!

Pilat 19 авг 2010 в 13:37

Правильная версия:

— Папа, мне сегодня приснился Медведев, ломающий X сервер!!!
— … А бывают просто сны, дочка!

Zert 19 авг 2010 в 09:08

Не-не, именно амбиции

rule 19 авг 2010 в 00:21

ООО спасибо, очень интересно и доступно. Спасибо за хорошую статью.

Ercitix 19 авг 2010 в 00:37

Спасибо. Надо будет обновить ядро. Хороший повод попиарить Qubes OS от автора эксплойта и Рутковской.

hazg 19 авг 2010 в 00:48

Радует поиск гуишных уязвимостей под linux.

P.S. Есть индекс будерброда и бикмака, почему бы не завести индекс эксплоитов? )))

grokinn 19 авг 2010 в 07:18

нда а сколько было криков, что вынос GUI в userspace это великое преимущество linux над windows :)

-11

Ilya_Smelykh 19 авг 2010 в 08:43

так оно и есть

+13

artemlight 19 авг 2010 в 16:49

Х-сервер в юзерспейсе вроде как и не работал. Были какие-то патчи, но они толком неюзабельны были. Выносить гуй в юзерспейс, имхо, довольно накладно — там же огромное количество переключений контекста будет. Так что преимуществом довольно сложно это назвать, да.

Ilya_Smelykh 19 авг 2010 в 17:25

А где же он тогда работает?

alexevil 20 авг 2010 в 00:56

Иксы работают в юзерспейсе, но запускаются рутом :)

kyb27 19 авг 2010 в 09:54

Исходя из того что перед рекурсивным обходом надо исчерпать память Xserver'a, то атаку достаточно легко заметить по общему торможению системы вызванным массовой отправкой процессов в своп.

grep0 19 авг 2010 в 10:28

Вообще-то исчерпывается не физическая память и своп, а адресное пространство. Но, конечно, подозреваю, что во время атаки Xserver вполне может немного сойти с ума от невозможности выделения памяти, и мы увидим какие-нибудь артефакты.

kyb27 19 авг 2010 в 12:00

Адресное пространство должно быть к чему-то физическому привязано. Когда процесс пытается получить какой-то объем виртуальной памяти это приводит к явным операциям со страницами физической памяти. Иначе говоря у ядра требуют память и ее выдают за счет отправки в своп страниц других процессов. Рафаль упоминает 800 метров разделяемой памяти для х86_64, в этом случае дисковая активность будет уже заметной, хотя всегда возможны варианты.

ivanzoid 19 авг 2010 в 19:10

Почему же? Нам же нужно просто резирвировать адресное пространтво, необязательно туда что-то писать. А насколько я знаю, чтобы пометить, что страница зарезервирована, нужно не очень много памяти (сколько-то там байт в одной из Page Directories).

kyb27 19 авг 2010 в 10:10

Говоря о решения напишите про RLIMIT_AS.

grep0 19 авг 2010 в 10:18

RLIMIT_AS тривиально обходится порождением подпроцессов.

kyb27 19 авг 2010 в 10:22

А если установит RLIMIT_AS на Xorg? Как в этом случае?

Antigluk 19 авг 2010 в 10:11

А почему это у вас иксы работают от рута? )

-1

ekungurov 19 авг 2010 в 10:43

Потому же, почему и у Вас. SUID бит потому что.

НЛО прилетело и опубликовало эту надпись здесь

madgnu 19 авг 2010 в 15:52

пока это возможно только с драйверами, поддерживающими kernel modesetting. но все равно есть некоторые шероховатости. каноникал что-то делает в этом направлении в новой убунте.

Antigluk 19 авг 2010 в 12:24

А разве от SUID не отказались в пользу PAMa?

-2

ekungurov 19 авг 2010 в 12:49

X-серверу рутовый доступ не для аутентификации нужен. «Иксы» вообще не занимаются аутентификацией. Это задача всяких gdm и kdm'ов.

Paketik 19 авг 2010 в 11:08

ссылочку [2] поправьте, а то opera:illegal-url

Bkmz 19 авг 2010 в 12:31

А сплоит дадите проверить?

Softovick 19 авг 2010 в 23:59

Вот именно поэтому я предпочитаю использовать на серверах варианты установки без GUI… Кроме лишней нагрузки дает и такие возможности… К сожалению, мою точку зрения воспринимают не все :(

Зарегистрируйтесь на Хабре, чтобы оставить комментарий

Показать лучшие за всё время

Эскалация привилегий в десктопном линуксе: Получение рутового доступа из GUI-приложений

Комментарии 56

Публикации

Истории