X'inhi Qoxra Ristretta u Għaliex l-Attakki tal-Qoxra Qoxra Jaqbżu huma Importanti
Qoxriet ristretti jintużaw biex jikkontrollaw liema kmandi jistgħu jesegwixxu l-utenti, u ħafna drabi jipprevjenu azzjonijiet bħal cd, it-tnedija ta' qxur ġodda, jew l-esportazzjoni ta' varjabbli tal-ambjent. Tipikament jiġu skjerati fi CI/CD aġenti jew jibnu ambjenti biex jillimitaw l-imġiba tal-utent. Madankollu, l-attakkanti jfittxu modi kif iwettqu jumping shell, metodu użat biex jaħarbu minn ambjenti ta' qxur ristretti u jiksbu aċċess għal qxur mhux ristretti bħal bin/bash. Ladarba ġewwa it, l-attakkant għandu kontroll sħiħ tal-linja tal-kmand, u jevita l-limitazzjonijiet kollha tal-ambjent ristrett.
Kif Taħdem il-Jumping Shell: Minn Ristrett għal bin/bash
L-għan ta' qoxra li taqbeż huwa li tisfrutta d-dgħufijiet f'ambjenti ristretti u twassal għal ħarba minn qoxra li twassal għal bin/bashTekniki komuni biex wieħed jaħrab minn attakki b'arma ristretta jinkludu:
$ ls /bin/bash $ /bin/bashIf bin/bash hija aċċessibbli, din l-invokazzjoni sempliċi tikkompletaha.
Metodu komuni ieħor:
$ echo "/bin/bash" > run.sh $ sh run.sh L-attakkanti jistgħu wkoll jisfruttaw edituri bħal vi or inqas:
vi :set shell=/bin/bash :shell Dawn il-metodi juru kemm faċilment qoxra li taqbeż tista' twassal għal bin/bash eżekuzzjoni, billi tevita b'mod effettiv il-protezzjonijiet ristretti tal-qoxra.
Ir-Riskji Reali ta' Dawn l-Attakki f'DevOps
Fi kondiviż CI/CD ambjenti, qxur ristretti jintużaw biex jiżolaw il-bini u jnaqqsu r-riskju. Imma meta attakkant jirnexxilu b'qxur li jaqbeż u jilħaq bin/bash, il-mudell tas-sigurtà jikkollassa.
Ir-riskji jinkludu:
- Aċċess mhux awtorizzat għal sigrieti ambjentali
- Eskalazzjoni tal-privileġġi permezz ta' restrizzjonijiet mhux ristretti bin/bash
- Tbagħbis fil-bini pipelines jew artifatti
- L-iskjerament ta' għodda persistenti fi ħdan pipeline
Il-qoxra ristretta għall-ħarba għal bin/bash jiftaħ il-bieb għal kompromess sħiħ tas-sistema, ħafna drabi l-ewwel pass f'sistema usa' Attakk DevSecOps.
Monitoraġġ u Sejbien ta' Jumping Shell u bin/bash Escapes
Biex jidentifikaw l-imġiba tal-qbiż tal-qoxra u jimblokkaw it-tentattivi tal-qxir ristretti għall-ħarba, it-timijiet tas-sigurtà jridu:
- Irreġistra l-attività kollha tal-qoxra, speċjalment / bin / bash eżekuzzjoni
- Immonitorja l-abbuż tal-editur u l-użu tal-iskritt bħala vettori tat-tnissil tal-qoxra
- Traċċa l-aċċess għall-fajls tal-konfigurazzjoni tal-qoxra bħal .bashrc or .bash_profile
Mudelli ta' mġiba bħat-tnedija bin/bash minn ambjent ristrett għandhom jitqiesu bħala allarmi ta' prijorità għolja. L-iskoperta bikrija tista' tipprevjeni moviment laterali aktar profond.
Il-Prevenzjoni tal-Attakki u l-Isfruttamenti tal-Qoxra Ristretta tal-Ħarba
Biex jittaffew ir-riskji tal-qbiż tal-qoxra u jiġi evitat li l-attakkanti jniedu bin/bash:
- Twebbis il-qxur ristretti: Neħħi jew imblokka l- aċċess
- Uża AppArmor jew SELinux biex tirrestrinġi l-eżekuzzjoni tal-kmandi
- Inforza l-inqas privileġġ madwar CI/CD rwoli u runners
- Konteniturizza bini b'immaġini mingħajr distro li m'għandhomx qxur bħal bin/bash
- Ivvalida l-ambjenti qabel u wara l-bini biex taqbad l-anomaliji
Il-prevenzjoni ta' xenarji ta' ħarba minn qxur ristretti teħtieġ kontrolli f'saffi, mhux biss dipendenza fuq qxur limitati. Tassumix li qxur ristretti huma siguri jekk bin/bash huwa saħansitra potenzjalment aċċessibbli.
Konklużjoni: Il-Ħarbiet tal-Qoxra Huma Punti tad-Dħul
Qoxriet ristretti huma saff ta' difiża, mhux garanzija. L-attakki ta' qoxriet li jaqbżu jimmiraw lejn iżolament dgħajjef u validazzjoni fqira. Ladarba jkunu ġewwa / bin / bash, l-attakkanti jistgħu jbiddlu s-sistema, jippersistu, u jikkompromettu l-infrastruttura DevSecOps.
L-iskoperta u l-iżolament huma essenzjali. Il-kombinazzjoni tar-reġistrazzjoni tal-kmandi, ambjenti ristretti, u tindif xieraq tal-maniġers tal-pakketti tnaqqas l-esponiment.
Fl-aħħar nett, għodod bħal Xygeni joffru viżibilità ta' dawn ir-riskji. Jgħinu biex jinfurzaw l-integrità tal-kodiċi, jiskopru mġiba mhux tas-soltu tal-qoxra, u sigur tiegħek pipelineminn theddid intern u estern, inklużi dawk li jibdew b'qoxra sempliċi ta' qbiż għal / bin / bash jew tentattivi biex jaħarbu minn ambjenti ristretti tal-qoxra.
