Временная атака файла

Самым простым примером этой атаки является инструмент, хранящий секретную информацию во временный файл.

Рассмотрите следующий код:

#!/bin/sh

SECRETDATA="My password is 12345."

echo > /tmp/mysecretdata

chmod og-rwx /tmp/mysecretdata

echo "$SECRETDATA" >> /tmp/mysecretdata

Атака:

Создайте инструмент, наблюдающий за файлом /tmp/mysecretdata появиться. (Несмотря на то, что это может быть сделано со сценарием оболочки, это, вероятно, не будет достаточно быстро для работы очень часто. Используйте События Файловой системы API в C вместо этого.)

После обнаружения существования пути сделайте это:

FILE *fp=fopen("/tmp/mysecretdata", "r");

Если атакующий управляет открыть файл, прежде чем сценарий выполнится chmod команда, это может продолжать считывать данные из файла столько, сколько это сохраняет файл открытым.

Смягчение:

Существует две вещи, которые необходимо сделать для фиксации этого:

• Всегда используйте umask команда для указания первоначальных полномочий на файле, когда Вы создаете его.

• Всегда создавайте временные файлы с mktemp команда. Это создает новый файл с указанным шаблоном, гарантируя, что уже не существуют файл или символьная ссылка с тем именем.

Например:

#!/bin/sh

SECRETDATA="My password is 12345."

umask 0177

FILENAME="$(mktemp /tmp/mytempfile.XXXXXX)"

echo "$SECRETDATA" >> "$FILENAME"

Однако принятие Вас фактически намеревается использовать данные снова в будущем, это смягчение, вероятно, не достаточно также по причинам, описанным в следующей атаке.

Входная атака файла

Подобная атака может быть выполнена на файлах, используемых в качестве вводов к сценариям оболочки.

Рассмотрите сценарий, выполняющий следующий код:

#!/bin/sh

echo "My password is secret!" > /tmp/mypublicdata

...

PUBLICDATA="$(cat /tmp/mypublicdata)"

echo "$PUBLICDATA" | nc 192.168.1.102 3333

Этот сценарий отправляет содержание временного файла для портирования 3333 из другого компьютера в IP-адресе 192.168.1.102 с помощью nc утилита.

Атака:

Создайте инструмент, наблюдающий за файлом /tmp/mydata появиться. (Несмотря на то, что это может быть сделано со сценарием оболочки, это, вероятно, не будет достаточно быстро для работы очень часто. Используйте События Файловой системы API в C вместо этого.)

После обнаружения существования пути сделайте это:

unlink("/tmp/mypublicdata");

unlink("/etc/myscretdata", "/tmp/mypublicdata");

Если атакующий управляет сделать это, прежде чем сценарий считает файл, то Ваш секретный пароль (по-видимому 12345, из предыдущего сценария) отправляется незашифрованный по порту 3333. Атакующий может тогда осуществить сниффинг для трафика на том порту, и может зарегистрировать в Вашу учетную запись (или по крайней мере разблокировать Ваш багаж).

Смягчение:

Это особенно неприятно для смягчения, потому что инструменты UNIX по сути идут по символьным ссылкам. Единственный способ решить проблему состоит в том, чтобы избежать писать фактические файлы в общедоступные каталоги. Необходимо сделать это следующим образом:

• Всегда создавайте временные каталоги с mktemp команда, затем создайте свои фактические временные файлы в тех каталогах. Путем выполнения этого можно установить строгие полномочия на каталоге, который будет препятствовать тому, чтобы атакующий удалил файлы и заменил их.

  Если Вы указываете -d флаг, mktemp команда создает новый каталог с указанным шаблоном, гарантируя, что уже не существует файл или каталог с тем именем.

• Всегда используйте umask команда для указания первоначальных полномочий на файлах и каталогов, когда Вы создаете их.

Например:

#!/bin/sh

umask 0177

TMPDIR="$(mktemp -d /tmp/mytempfile.XXXXXX)"

echo "My password is secret!" > "$TMPDIR"/mypublicdata

...

PUBLICDATA="$(cat "$TMPDIR"/mypublicdata)"

echo "$PUBLICDATA" | nc 192.168.1.102 3333

Простой пример

Рассмотрите следующий пример:

read FOO

read BAR

if [ x$FOO = xfoo ] ; then

    echo $FOO

    eval $BAR

fi

Этот код имеет две дыры в системе безопасности. Можно ли определить их?

• if [ x$FOO = xfoo ] ; then

  Этот оператор допускает инжекционную атаку на FOO.

  Атака:

  Передача “foo = xfoo -o x” как значение для FOO.

  Несмотря на то, что значение FOO не «foo», оператор выполняется так или иначе. В зависимости от какого этот тест делает, это могло потенциально вызвать неожиданное поведение.

  Смягчение:

  Для исправления этой ошибки изменитесь если оператор для чтения:

  if [ "$FOO" = "foo" ] ; then

• eval $BAR

  Это нет - нет. Никогда не работайте, оценка на данных передала в пользователем, если Вы очень, очень тщательно не санировали его (и, если возможно, используйте whitelist для ограничения позволенных значений).

  Атака:

  Передайте опасную команду для BAR.

  Смягчение:

  Просто не делайте этого.

Тонкий пример

Следующий пример является более тонким. Вместо выполнения eval, это пишет данные в сценарий, но делает так, не защищая значения:

#!/bin/sh

read FOO

# ...

echo ls $FOO >> myscript.sh

# ...

chmod a+x myscript.sh

./myscript.sh

Атака:

Передайте значение “; rm randomfile” чтобы заставить этот сценарий удалять файл.

Неправильное смягчение:

Вы могли бы испытать желание исправить эту ошибку путем изменения эха и строк выполнения для чтения:

echo ls "\"$FOO\"" >> myscript.sh

export FOO

Однако это все еще не решает проблему потому что FOO сразу расширен, что означает что если значение FOO содержит кавычку — например, “";rm randomfile ; echo "”, у Вас теперь есть различное (но одинаково плохо) дыра в системе безопасности.

Корректное смягчение № 1:

Один способ исправить эту ошибку состоит в том, чтобы изменить строку эха для чтения:

echo ls "\"\$FOO\"" >> myscript.sh

Это вызывает переменную FOO быть расширенным, когда выполняется сценарий. Однако это работает только если переменная FOO экспортируется, потому что иначе переменная FOO ни до чего не расширился бы во втором сценарии.

Корректное смягчение № 2:

Другой способ исправить эту ошибку состоит в том, чтобы изменить строку эха для чтения:

QUOTFOO="$(echo "$FOO" | sed "s/'/'\"'\"'/g")"

echo ls "'$QUOTFOO'" >> myscript.sh

При помощи одинарных кавычек вокруг строки во вторичном сценарии единственный символ, относящийся к оболочке, является символом одинарной кавычки. sed команда тогда заменяет любые символы одинарной кавычки в строке с заключительной одинарной кавычкой, сопровождаемой одинарной кавычкой, обернутой в двойные кавычки, сопровождаемые вводной одинарной кавычкой.

Назад пример совместимости

Следующий пример не опасен в современных оболочках, но опасен в более старых Оболочках Bourne:

#!/bin/sh

read FOO

echo $FOO

Атака:

Передайте значение “; rm randomfile” чтобы заставить этот сценарий удалять файл в более старых оболочках.

Самые современные оболочки анализируют оператор до любой подстановки переменных и таким образом незатронуты этой атакой. Однако для надлежащей безопасности, когда Ваш сценарий выполняется в более старых системах (чтобы не упомянуть, что избежали синтаксической ошибки, если имя файла содержит пробелы), необходимо все еще окружить переменную двойными кавычками.

Смягчение:

Для исправления этой ошибки измените строку эха для чтения:

echo "$FOO"

Исследование полномочий файла

Полномочия UNIX видимы пользователям в Терминале и в окне Finder's Get Info. В Терминале можно легко смотреть на полномочия в человекочитаемом формате при помощи ls команда следующим образом:

$ ls -ld filename dirname

drwxr-xr-x  2 username  groupname  68 Jun 16 13:40 dirname

-rw-r--r--  1 username  groupname   0 Jun 16 13:40 filename

Левый символ указывает, является ли объект файловой системы файлом (-), каталог (d), символьная ссылка (l), блок (b) или символ (c) специальный файл, именованный канал (p), или сокет домена UNIX (s).

Следующие три символа показывают полномочия Владельца, сопровождаемые полномочиями Группы, и наконец, Другие полномочия, как перечислено в следующей таблице:

Полный набор полномочий часто выражается в восьмеричном, как определено битами в таблице выше. Первая цифра включает липкий бит и setuid и setgid биты. Если нуль, можно опустить его при передаче значения большинству команд. Оставление тремя цифрами содержит Владельца (пользователь), Группа и Другие полномочия, соответственно.

Например, файл, который является setuid и setgid, с, читал/писал/выполнял полномочия Владельца и читал/выполнял Группу и Другие полномочия, восьмеричный эквивалент 6755:

• Ведущее специальное значение полномочий равняется 6, который является битовым «ИЛИ» setuid (4) и setgid (2).

• Разрешение Владельца равняется 7, который является битовым «ИЛИ» чтения (4), запишите (2) и выполнитесь (1) биты.

• Группа и Другие полномочия и 5, который является битовым «ИЛИ» чтения (4), и выполнитесь (1) полномочия.

Для показа полномочий UNIX файла используйте команду статистики следующим образом:

stat -f "%p" filename

Проигнорируйте все кроме последних четырех цифр возвратились.

Изменение принадлежности файла и полномочий

Возможность изменить принадлежность файла и полномочия ограничивается операционной системой по причинам квоты и безопасности. Пользователи могут:

• Измените полномочия для любого файла, которым они владеют.

• Измените группу для любого файла, которым они владеют любой группе, из которой они являются участником.

Некорневые пользователи не могут:

• Полномочия изменения на файлах принадлежат кому-либо еще.

• Измените группу файла группе, из которой они не являются участником.

• Измените владельца любого файла.

Пользователь root может изменить полномочия и владение произвольно кроме тех случаев, когда блокированный файловой системой BSD отмечает.

С теми ограничениями в памяти, следующие разделы описывают, как изменить полномочия и изменить пользователя и владение группы файлов и каталогов.

# Change the owner of a file or directory

sudo chown newowner filename_or_dirname

# Change the owner of a directory and everything in it recursively

sudo chown -R newowner dirname

# Change the group by itself

chown :newgroup filename_or_dirname

chgrp newgroup filename_or_dirname

# Change the group of a directory and everything in it recursively

chown -R :newgroup dirname

chgrp -R newgroup dirname

# Change the owner and the group

sudo chown newowner:newgroup filename_or_dirname

# Change the group of a directory and everything in it recursively

sudo chown -R newowner:newgroup dirname

chmod a+rw world_writable_file

chmod u+rwx,g-rwx,o-rwx filename

chmod u+rwx,go-rwx filename

chmod a-rwx,u+rwx filename

chmod g=r filename

chmod a+rx,ug+s filename

chmod a+rxs filename    # Note: o+s is ignored.

chmod 666 world_writable_file

chmod 0666 world_writable_file

chflags uchg filename # user flag

sudo chflags schg filename # system flag

chflags nouchg filename # user flag

sudo chflags noschg filename # system flag

username grant rightname

groupname grant rightname

username deny rightname

groupname deny rightname

chmod +a "_mysql deny read" filename

ls -le filename

chmod +a# 0 "_www deny read" filename

chmod -a "_mysql deny read" filename

chmod =a# 0 "_mdnsresponder deny read" filename

chmod +a "_www deny list,search,directory_inherit" dirname

Обеспечение временных файлов

Поскольку временные каталоги в OS X и других основанных на UNIX операционных системах являются мировыми перезаписываемыми, необходимо заботиться, чтобы гарантировать изменение файла, Вы думаете, что изменяете.

Например, следующий код имеет две серьезных ошибки:

if [ ! -f /tmp/mytempfile ] ; then

    # Race condition here

    touch /tmp/mytempfile

    chmod u=rw,og= /tmp/mytempfile

    # Missing error check here

    echo My secret password is omnibus > /tmp/mytempfile

fi

Приложение, которое, оказывается, разбирается в синхронизации, может создать вызванный файл /tmp/mytempfile прямо после проверок сценария на его существование, ожидайте сценария, чтобы записать данные в него, и впоследствии украсть пароль. chmod команда произвела бы ошибку в этом случае, но потому что сценарий не проверяет код результата, ошибка спорна.

Для решения этой проблемы всегда используйте mktemp команда для создания временных файлов. mktemp команда создает файлы с первоначальными полномочиями 0600, и никогда не возвращает существующий файл. (Используя mktemp также обеспечивает простой способ получить известное - уникальное имя файла, потенциально избегая неожиданного поведения, вызванного временными коллизиями файла.)

Обнаружение переменных сброса

По умолчанию Оболочка Bourne обрабатывает переменные сброса как пустые (в отличие от этого csh). Если Ваш сценарий ожидает, что переменная сброса для содержания значения это может привести к неправильному выполнению сценария и, в зависимости от сценария, может даже привести к дыре в системе безопасности. Для принятия мер против этого можно дать следующую команду:

set -u

С этим набором флага, если Ваш сценарий пытается использовать пустую переменную, оболочка распечатывает сообщение об ошибке, и весь сценарий сразу выходит с ненулевым статусом выхода.

При желании можно позже восстановить поведение по умолчанию со следующей командой:

set +u

Проверка статуса выхода автоматически

Для очень простых сценариев, проверяя статус выхода каждой команды может быть утомительным. Можно значительно упростить эти сценарии, вместо этого дав следующую команду:

set -e

С этим набором флага, если какие-либо простые выходы команды с ненулевым статусом выхода, оболочка завершается со статусом выхода той команды. Простая команда определяется как команда, не включающая каналов или списков, который не выполняется как часть оператора управления, и чей статус выхода не инвертируется с восклицательным знаком.

При желании можно позже восстановить поведение по умолчанию со следующей командой:

set +e

Экспорт переменных автоматически

Не всегда необходимо экспортировать переменные, которые Ваш сценарий использует внутренне. Однако, если дочерний процесс зависит от значений тех переменных, они должны быть экспортированы. В некоторых случаях сбой экспортировать переменную мог даже привести к дыре в системе безопасности, если бы он заставляет дочерний элемент предоставлять пользовательский доступ, который он или она иначе не имел бы. Например, если сценарий CGI, работающий в среде веб-сервера, обеспечивает дополнительные пределы на том, к каким файлам удаленный пользователь может получить доступ, ошибка в том сценарии могла бы предоставить пользовательский доступ к другим файлам.

Можно при желании сказать оболочке автоматически экспортировать любую переменную, которую сценарий устанавливает путем выдачи следующей команды:

set -a

При желании можно позже восстановить поведение по умолчанию со следующей командой:

set +a

Получение статуса выхода переданных по каналу команд в BASH

Статус выхода ряда команд, соединенных каналами, является, по умолчанию, статусом выхода самой правой команды. Если Вы не исследуете вывод от заключительной команды, чтобы гарантировать, что это целесообразно, это поведение по умолчанию может потенциально замаскировать ошибки, которые могли бы привести к проблемам безопасности.

Например, рассмотрите следующий код:

ls nonexistentfile | cat

echo $?

В первой команде, даже при том, что ls сбои команды, команда кошки не заботится, получила ли она какой-либо ввод или нет, и таким образом выходит с нулевым статусом выхода. В результате статус выхода канала является нулем. Если критически важно знать, перестала ли первая команда работать (например, если это выполняет работу с важным побочным эффектом, таким как удаление файла на диске), то это потенциально небезопасно.

Существует много способов, которыми можно решить эту проблему. Самая очевидная фиксация должна сохранить результаты первой команды в переменную временно, проверить код результата первой команды, и затем использовать echo передавать результаты по каналу к второй команде. Этот метод часто является меньше, чем идеал для команд, занимающих много времени, чтобы выполнить или произвести большие суммы вывода, однако, потому что вторая команда не получает данных до окончания первых выходов команды. Если вывод заключительной команды, как ожидают, будет считан пользователем, влияние производительности особенно примечательно.

Как альтернатива, в BASH, можно дать следующую команду прежде, чем дать команды выше:

set -o pipefail

После выдачи этой команды статус выхода канала предоставлен самой правой командой, переставшей работать с ненулевым статусом выхода или нулем если каждая команда в цепочке каналов, из которых выходят успешно. В более раннем примере, финале echo команда распечатала бы число 1 (статус выхода ls команда).

При желании можно позже восстановить поведение по умолчанию со следующей командой:

set +o pipefail

Очистка среды в BASH

Для сценариев оболочки BASH (или сценарии Оболочки Bourne, работающие в BASH), который должен работать в привилегированной среде (как root пользователь, например), это - хорошая идея сказать, что оболочка к не автоматически выполняет любые файлы «команд выполнения» (.bashrc, .profile, и т.д.), который может содержать команды псевдонима, влияющие на выполнение сценария, функции, которые могут переопределить команды в Вашем сценарии или даже злонамеренные команды, которые атакующий хочет, чтобы Ваш сценарий выполнил при выполнении как root пользователь.

Для очистки среды сценария таким образом необходимо изменить строку интерпретатора сценария на следующее:

#!/bin/bash -p

В этом режиме, сценарии, на которые ссылаются ENV и BASH_ENV переменные окружения не выполняются, окружают функции, не наследованы, и SHELLOPTS переменная окружения проигнорирована.