Wat is 'n beperkte dop en waarom springende dopaanvalle saak maak?
Beperkte doppe word gebruik om te beheer watter bevele gebruikers kan uitvoer, wat dikwels aksies soos ... voorkom. cd, die bekendstelling van nuwe doppe, of die uitvoer van omgewingveranderlikes. Hulle word tipies ontplooi in CI/CD agente of bouomgewings om gebruikersgedrag te beperk. Aanvallers soek egter maniere om 'n spring-shell uit te voer, 'n metode wat gebruik word om beperkte dop-omgewings te ontsnap en toegang te verkry tot onbeperkte doppe soos bin/bash. Eenmaal binne it, die aanvaller het volle opdragreëlbeheer en omseil alle beperkings van die beperkte omgewing.
Hoe Jumping Shell Werk: Van Restricted na bin/bash
Die doel van 'n springende dop is om swakhede in beperkte omgewings te benut en 'n dop-ontsnapping te veroorsaak wat lei tot bin/bashAlgemene tegnieke vir ontsnappingsbeperkte granaataanvalle sluit in:
$ ls /bin/bash $ /bin/bashIf bin/bash toeganklik is, voltooi hierdie eenvoudige aanroeping die dit.
Nog 'n algemene metode:
$ echo "/bin/bash" > run.sh $ sh run.sh Aanvallers kan ook redigeerders soos vi or minder:
vi :set shell=/bin/bash :shell Hierdie metodes illustreer hoe maklik 'n springende dop kan lei tot bin/bash uitvoering, wat effektief beperkte dopbeskermings omseil.
Die werklike risiko's van hierdie aanvalle in DevOps
In gedeelde CI/CD omgewings, beperkte doppe word gebruik om bousels te isoleer en risiko te verminder. Maar wanneer 'n aanvaller slaag met 'n springdop en bereik bin/bash, die sekuriteitsmodel stort in duie.
Risiko's sluit in:
- Ongemagtigde toegang tot omgewingsgeheime
- Voorreg-eskalasie via onbeperkte bin/bash
- Peuter met bouwerk pipelines of artefakte
- Implementering van volgehoue gereedskap binne die pipeline
Die ontsnapping het die dop beperk tot bin/bash maak die deur oop vir volledige stelselkompromie, dikwels die eerste stap in 'n breër DevSecOps-aanval.
Monitering en opsporing van springende Shell- en bin/bash-ontsnappings
Om springende dopgedrag op te spoor en ontsnappingsbeperkte doppogings te blokkeer, moet sekuriteitspanne:
- Teken alle dopaktiwiteit aan, veral / bin / bash uitvoering
- Monitor redigeerdermisbruik en skripgebruik as dop-spawn vektore
- Spoor toegang tot dopkonfigurasielêers soos .bashrc or .bash_profiel
Gedragspatrone soos lansering bin/bash vanuit 'n beperkte omgewing moet as hoëprioriteitswaarskuwings beskou word. Vroeë opsporing daarvan kan dieper laterale beweging voorkom.
Voorkoming van ontsnappingsbeperkte skulpaanvalle en uitbuiting
Om springende doprisiko's te verminder en te verhoed dat aanvallers lanseer bin/bash:
- Verhard beperkte skulpe: Verwyder of blokkeer die toegang
- Gebruik AppArmor of SELinux om die uitvoering van opdragte te beperk
- Dwing minste voorreg af CI/CD rolle en hardlopers
- Houerboue met distrolose beelde sonder skulpe soos bin/bash
- Valideer omgewings voor en na bouwerk om afwykings op te spoor
Voorkoming van ontsnappingsbeperkte dop-scenario's vereis gelaagde beheermaatreëls, nie net afhanklikheid van beperkte doppe nie. Moenie aanvaar dat beperkte doppe veilig is as bin/bash is selfs moontlik bereikbaar.
Gevolgtrekking: Skelp-ontsnappings is toegangspunte
Beperkte skulpe is 'n verdedigingslaag, nie 'n waarborg nie. Springende skulp-aanvalle teiken swak isolasie en swak validering. Sodra dit binne is. / bin / bash, aanvallers kan DevSecOps-infrastruktuur draai, volhard en kompromitteer.
Opsporing en isolasie is noodsaaklik. Die kombinasie van opdraglogging, beperkte omgewings en behoorlike skoonmaak van pakketbestuurders verminder blootstelling.
Laastens, gereedskap soos Xygeni bied sigbaarheid in hierdie risiko's. Hulle help om kode-integriteit af te dwing, ongewone dopgedrag op te spoor en beveilig jou pipelinevan interne en eksterne bedreigings, insluitend dié wat begin met 'n eenvoudige springdop na / bin / bash of pogings om beperkte dop-omgewings te ontsnap.
