Privilege escalation

Сначала авторизация: это вскрытие со стороны защитника

Всё ниже предполагает подписанную работу с явным scope — намеренно уязвимую лабораторию, CTF-машину, машину, которой ты владеешь, или систему, названную в bug-bounty-программе. Запуск инструментов перечисления против хоста, на который у тебя нет авторизации, или переход с низкой учётки на root на чужой инфраструктуре — это несанкционированный доступ почти в любой юрисдикции, без оговорок. Мы изучаем перечисление атакующего ровно по одной причине: нельзя надёжно закрыть путь эскалации, который понимаешь только как пункт чек-листа. Читай это как вскрытие, которое защитник проводит над собственным хостом, — учась видеть бит SUID и правило sudo так, как их видит атакующий, чтобы ступени не было в дизайне ещё до того, как её найдёт любой тестировщик. Никаких боевых payload’ов здесь, только механизм, который подсказывает, какую ступень убрать.

Форма атаки: плацдарм, перечислить, злоупотребить, закрепиться

Повышение привилегий — не единичный эксплойт, это фаза. У атакующего уже есть выполнение кода как некоего низкопривилегированного принципала — веб-пользователя вроде www-data или IIS APPPOOL, скомпрометированной сервисной учётки, CI-раннера. Цель — вертикальное движение: от этого принципала к более высокому (root, SYSTEM, Administrator, доменный админ), что открывает чтение любого файла, установку персистентности и переход к другим хостам. Цикл всегда один и тот же: перечислить локальное окружение на предмет всего неправильно настроенного, найти примитив, пересекающий границу доверия, злоупотребить им, чтобы выполнить код как более высокий принципал, затем закрепиться, чтобы плацдарм пережил перезагрузку или сброс пароля.

Ключевая ментальная модель: эскалация живёт в зазоре между тем, кто что-то запускает, и тем, кто управляет его входами. Каждая ступень — это какой-то компонент, который выполняется с высокой привилегией, но принимает вход — путь, файл, бинарь, переменную окружения, — на который может влиять низкопривилегированный пользователь. Вся задача атакующего в этой фазе — перечислить, где эти два факта расходятся.

Linux: четыре повторяющиеся ступени

На Linux одна и та же горстка просчётов конфигурации встречается снова и снова, и зрелый защитник учится замечать каждый в собственном парке машин раньше, чем это сделает тестировщик.

SUID/SGID-бинари. Файл с битом SUID выполняется как его владелец независимо от того, кто его запустил, — так SUID-root-бинарь выполняется как root, даже когда его запускает www-data. Это сделано намеренно для инструментов вроде passwd, которым нужен привилегированный момент. Опасность — SUID-бинарь, который делает то, чего не должен: вызывает помощника по относительному имени (так атакующий добавляет вредоносный каталог в начало PATH), читает или пишет файл, который называет вызывающий, или является интерпретером общего назначения, которому вообще нельзя быть SUID. SUID-root-программа, вызывающая system("tar ..."), отдаёт атакующему root в момент, когда он кладёт поддельный tar раньше в PATH. Фикс — это минимальная привилегия на бинаре: снять бит SUID, если он не нужен по-настоящему, а если нужен — бинарь должен использовать абсолютные пути, очищать окружение и не выставлять ни одного файла или команды, которыми может управлять вызывающий.

Просчёт sudo. sudo предназначен давать узкое повышение, но небрежный /etc/sudoers даёт широкое. Разрешить низкой учётке запускать редактор, пейджер или скриптовый интерпретер как root — фактически выдать root-шелл, потому что эти программы умеют порождать подоболочки или читать произвольные файлы. NOPASSWD на бинаре с shell-escape — классический подарок. Рефлекс защитника: каждое правило sudo — это исключение из deny-by-default, поэтому проверяй каждое вопросом «может ли именно эта команда в этой конфигурации быть превращена в выполнение произвольного кода?» — и если да, это замаскированная выдача root.

Записываемые привилегированные задания и сервисы. Задание cron, юнит systemd или скрипт сервиса, который работает как root, но лежит в файле, доступном на запись всем (или вызывает скрипт в каталоге, доступном на запись всем), позволяет любому пользователю переписать то, что root выполнит следующим. Просчёт — это права на файл, а не планировщик. Фикс — заблокировать владение и права на всё, чего касается привилегированный планировщик, чтобы низкая учётка никогда не могла отредактировать следующее, что запустит root.

Эксплойты ядра и устаревших компонентов. Когда конфигурация чистая, атакующий откатывается к известной уязвимости в ядре или привилегированном демоне — CVE в setuid-помощнике, баг ядра, дающий локальному пользователю root. Эту ступень закрывают не правами, а патчингом: непропатченное ядро с истёкшим сроком поддержки — это постоянный примитив локального root для любого, у кого уже есть шелл. Эксплойты ядра шумнее и могут уронить машину, поэтому осторожный атакующий пробует их последними — что и сигнализирует о хосте, отставшем с обновлениями.

Windows: тот же зазор, другие имена

Эскалация на Windows рифмуется с Linux — тот же зазор «работает высоко, доверяет низкому» — под другими механизмами. Некавыченные пути сервисов — хрестоматийный пример: сервис, зарегистрированный как C:\Program Files\My App\svc.exe без кавычек и работающий как SYSTEM, заставляет Windows сначала пробовать C:\Program.exe; если низкий пользователь может писать в C:\, его бинарь выполняется как SYSTEM. Слабые права сервиса позволяют низкому пользователю переконфигурировать бинарь, который запускает сервис SYSTEM. DLL hijacking подсовывает вредоносную библиотеку туда, откуда привилегированный процесс загружает её по небезопасному порядку поиска. Подмена токена злоупотребляет некоторыми привилегиями (у части сервисных учёток), чтобы выдать себя за токен SYSTEM. AlwaysInstallElevated — политика, запускающая MSI-инсталляторы как SYSTEM, — превращает любой пользовательский инсталлятор в выдачу root. Другая поверхность, идентичная корневая причина: высокопривилегированный компонент доверяет пути, праву или токену, на который может влиять низкопривилегированный пользователь.

Как защитник убирает лестницу

Объединяющая защита — это минимальная привилегия на каждом слое, потому что каждая ступень — это место, где привилегия была выдана шире, чем требовала задача. Считай, что плацдарм случится — фишинг, слитая учётка, баг приложения — и проектируй так, чтобы плацдарм был тупиком. Проверь инвентарь SUID/SGID и сними бит со всего, что его не заслуживает; считай каждое правило sudo явным исключением и отвергай любую программу с shell-escape; заблокируй владение и права на каждом файле, которого касается привилегированный планировщик или сервис; держи ядра и привилегированные демоны пропатченными, чтобы не было постоянного local-root CVE; на Windows закавычивай пути сервисов, ужесточай ACL сервисов и отключай AlwaysInstallElevated. Затем добавь обнаружение самого подъёма — алерт на новые SUID-файлы, на правки привилегированных юнитов, на порождение шелла сервисной учёткой — чтобы даже пропущенная тобой ступень была поймана. Зрелый рефлекс во всём этом тот же, что и всюду в безопасности: запрещай по умолчанию, выдавай минимум и считай, что нижняя граница будет пробита.