Vad är ett begränsat skal och varför hoppande skalattacker är viktiga
Begränsade skal används för att kontrollera vilka kommandon användare kan utföra, vilket ofta förhindrar åtgärder som cd, starta nya skal eller exportera miljövariabler. De distribueras vanligtvis i CI/CD agenter eller bygga miljöer för att begränsa användarbeteende. Angripare letar dock efter sätt att utföra ett hoppskal, en metod som används för att undkomma begränsade skalmiljöer och få tillgång till obegränsade skal som bin/bashVäl inne it, har angriparen full kommandoradskontroll och kringgår alla begränsningar i den begränsade miljön.
Hur Jumping Shell fungerar: Från Restricted till bin/bash
Målet med ett hoppskal är att utnyttja svagheter i begränsade miljöer och utlösa en skalflykt som leder till bin/bashVanliga tekniker för flyktbegränsade granatattacker inkluderar:
$ ls /bin/bash $ /bin/bashIf bin/bash är tillgänglig, fullbordar detta enkla anrop den.
En annan vanlig metod:
$ echo "/bin/bash" > run.sh $ sh run.sh Angripare kan också utnyttja redigerare som vi or mindre:
vi :set shell=/bin/bash :shell Dessa metoder illustrerar hur lätt ett hoppande skal kan leda till bin/bash körning, vilket effektivt kringgår begränsade skalskydd.
De verkliga riskerna med dessa attacker inom DevOps
I delat CI/CD miljöer används begränsade skal för att isolera byggen och minska risken. Men när en angripare lyckas med ett hoppande skal och når bin/bash, säkerhetsmodellen kollapsar.
Riskerna inkluderar:
- Obehörig åtkomst till miljöhemligheter
- Privilegieupptrappning via obegränsad bin/bash
- Manipulering av bygget pipelines eller artefakter
- Implementering av permanenta verktyg inom pipeline
Flykten begränsade skalet till bin/bash öppnar dörren för fullständig systemkompromiss, ofta det första steget i en bredare DevSecOps-attack.
Övervakning och detektering av Jumping Shell- och bin/bash-escapes
För att upptäcka hoppande skalbeteende och blockera escape-begränsade skalförsök måste säkerhetsteam:
- Logga all shellaktivitet, särskilt / bin / bash utförande
- Övervaka missbruk av redigerare och skriptanvändning som shell spawn-vektorer
- Spåra åtkomst till shell-konfigurationsfiler som .bashrc or .bash_profile
Beteendemönster som att lansera bin/bash från en begränsad miljö bör betraktas som högprioriterade varningar. Att upptäcka det tidigt kan förhindra djupare sidledsförflyttning.
Förhindra Escape Restricted Shell-attacker och exploits
För att minska riskerna för att hoppa över skal och förhindra att angripare avfyrar bin/bash:
- Härda begränsade skal: Ta bort eller blockera tillgång
- Använd AppArmor eller SELinux för att begränsa kommandokörning
- Tillämpa lägsta möjliga privilegier överallt CI/CD roller och löpare
- Containerisera byggen med distroless-avbildningar som saknar skal, som till exempel bin/bash
- Validera miljöer före och efter byggen för att upptäcka avvikelser
Förebyggande av flyktscenarier med begränsat skal kräver lagerbaserade kontroller, inte bara beroende av begränsade skal. Anta inte att begränsade skal är säkra om bin/bash är till och med potentiellt nåbar.
Slutsats: Skalutrymningar är ingångspunkter
Begränsade skal är ett försvarslager, inte en garanti. Hoppande skalattacker riktar sig mot svag isolering och dålig validering. Väl inne / bin / bash, angripare kan pivotera, persistera och kompromettera DevSecOps-infrastrukturen.
Detektion och isolering är avgörande. Genom att kombinera kommandologgning, begränsade miljöer och korrekt rensning av pakethanterare minskas exponeringen.
Slutligen, verktyg som Xygeni erbjuder insyn i dessa risker. De hjälper till att upprätthålla kodintegritet, upptäcka ovanligt skalbeteende och säkra din pipelinefrån interna och externa hot, inklusive de som börjar med ett enkelt hoppande skal till / bin / bash eller försöker undkomma begränsade skalmiljöer.
