Hva er et begrenset skall og hvorfor hoppende skallangrep er viktige
Begrensede skall brukes til å kontrollere hvilke kommandoer brukere kan utføre, og forhindrer ofte handlinger som cd, lansering av nye skall eller eksport av miljøvariabler. De distribueres vanligvis i CI/CD agenter eller byggemiljøer for å begrense brukeratferd. Angripere ser imidlertid etter måter å utføre et hoppshell på, en metode som brukes for å unnslippe begrensede skallmiljøer og få tilgang til ubegrensede skall som bin/bashNår du er inne it, har angriperen full kommandolinjekontroll og omgår alle begrensninger i det begrensede miljøet.
Hvordan Jumping Shell fungerer: Fra Restricted til bin/bash
Målet med et hoppende skall er å utnytte svakheter i begrensede miljøer og utløse en skallflukt som fører til bin/bashVanlige teknikker for rømningsbegrensede granatangrep inkluderer:
$ ls /bin/bash $ /bin/bashIf bin/bash er tilgjengelig, fullfører denne enkle påkallingen den.
En annen vanlig metode:
$ echo "/bin/bash" > run.sh $ sh run.sh Angripere kan også utnytte redigeringsprogrammer som vi or mindre:
vi :set shell=/bin/bash :shell Disse metodene illustrerer hvor lett et hoppende skall kan føre til bin/bash utførelse, og omgår effektivt begrensede skallbeskyttelser.
De reelle risikoene ved disse angrepene i DevOps
I delt CI/CD miljøer, brukes begrensede skall for å isolere bygg og redusere risiko. Men når en angriper lykkes med et hoppende skall og når bin/bash, sikkerhetsmodellen kollapser.
Risikoen inkluderer:
- Uautorisert tilgang til miljøhemmeligheter
- Opptrapping av privilegier via ubegrenset bin/bash
- Tukling med byggingen pipelines eller gjenstander
- Implementering av vedvarende verktøy innenfor pipeline
Rømningen begrenset skallet til bin/bash åpner døren for fullstendig systemkompromiss, ofte det første steget i en bredere DevSecOps-angrep.
Overvåking og deteksjon av hoppende skall- og bin/bash-rømminger
For å oppdage hoppende skall-atferd og blokkere escape-begrensede skall-forsøk, må sikkerhetsteam:
- Logg all skallaktivitet, spesielt / bin / bash gjennomføring
- Overvåk misbruk av redigeringsprogrammer og skriptbruk som skallvektorer
- Spor tilgang til skallkonfigurasjonsfiler som .bashrc or .bash_profile
Atferdsmønstre som å lansere bin/bash fra et begrenset miljø bør betraktes som varsler med høy prioritet. Tidlig oppdagelse kan forhindre dypere sideveis bevegelse.
Forebygging av Escape Restricted Shell-angrep og utnyttelser
For å redusere risikoen for hopping av skall og forhindre at angripere skyter bin/bash:
- Herde begrensede skall: Fjern eller blokker adgang
- Bruk AppArmor eller SELinux for å begrense kommandokjøring
- Håndhev minste privilegium på tvers CI/CD roller og løpere
- Containeriser bygg med distroless-bilder som mangler skall, som bin/bash
- Valider miljøer før og etter bygg for å fange opp avvik
Forebygging av rømningsscenarier med begrensede skall krever lagdelte kontroller, ikke bare avhengighet av begrensede skall. Ikke anta at begrensede skall er sikre hvis bin/bash er til og med potensielt tilgjengelig.
Konklusjon: Shell-rømninger er inngangspunkter
Begrensede skall er et forsvarslag, ikke en garanti. Jumping shell-angrep retter seg mot svak isolasjon og dårlig validering. Når man først er inne / bin / bash, kan angripere snu, vedvare og kompromittere DevSecOps-infrastrukturen.
Deteksjon og isolering er avgjørende. Kombinasjon av kommandologging, begrensede miljøer og skikkelig opprydding av pakkebehandlere reduserer eksponering.
Til slutt, verktøy som Xygeni gir innsikt i disse risikoene. De bidrar til å håndheve kodeintegritet, oppdage uvanlig skalloppførsel og sikre din pipelinefra interne og eksterne trusler, inkludert de som starter med et enkelt hoppeskall til / bin / bash eller forsøker å unnslippe begrensede skallmiljøer.
