Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-25 14:10:41 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/linux-unix/privilege-escalation/seccomp.md

9.5 KiB
Raw Blame History

AWSハッキングをゼロからヒーローまで学ぶ htARTE (HackTricks AWS Red Team Expert)！

HackTricksをサポートする他の方法:

基本情報

Seccomp（セキュアコンピューティングモードの略）は、要約すると、システムコールフィルターとして機能するLinuxカーネルの機能です。 Seccompには2つのモードがあります。

seccompはLinux カーネルのコンピュータセキュリティ機能です。seccompを使用すると、プロセスは"セキュア"な状態に一方向の遷移を行い、既に開かれたファイルディスクリプタに対してexit()、sigreturn()、read()、write()以外のシステムコールを行うことができなくなります。他のシステムコールを試みた場合、カーネルはSIGKILLまたはSIGSYSでプロセスを終了します。この意味で、システムのリソースを仮想化するのではなく、プロセスを完全に隔離します。

seccompモードは、PR_SET_SECCOMP引数を使用してprctl(2)システムコールを介して有効にされます、または（Linuxカーネル3.17以降）seccomp(2)システムコールを介して有効にされます。seccompモードは以前は/proc/self/seccompというファイルに書き込むことで有効にされていましたが、prctl()を優先するためにこの方法は削除されました。一部のカーネルバージョンでは、電源オン以降の経過プロセッササイクル数を返すx86命令RDTSCが無効になります。これは高精度タイミングに使用されます。

seccomp-bpfは、Berkeley Packet Filterルールを使用して実装された設定可能なポリシーを使用してシステムコールをフィルタリングすることを可能にするseccompの拡張です。これは、Chrome OSとLinuxのGoogle Chrome/Chromiumウェブブラウザだけでなく、OpenSSHやvsftpdによって使用されています。（この点で、seccomp-bpfは古いsystraceと同様の機能を達成しますが、より柔軟性があり、パフォーマンスが高いです。Linuxではもはやサポートされていないようです。）

オリジナル/ストリクトモード

このモードでは、Seccompはシステムコールexit()、sigreturn()、read()、write()のみを既に開かれたファイルディスクリプタに対して許可します。他のシステムコールが行われた場合、プロセスはSIGKILLを使用して終了されます。

{% code title="seccomp_strict.c" %}

#include <fcntl.h>
#include <stdio.h>
#include <unistd.h>
#include <string.h>
#include <linux/seccomp.h>
#include <sys/prctl.h>

//From https://sysdig.com/blog/selinux-seccomp-falco-technical-discussion/
//gcc seccomp_strict.c -o seccomp_strict

int main(int argc, char **argv)
{
int output = open("output.txt", O_WRONLY);
const char *val = "test";

//enables strict seccomp mode
printf("Calling prctl() to set seccomp strict mode...\n");
prctl(PR_SET_SECCOMP, SECCOMP_MODE_STRICT);

//This is allowed as the file was already opened
printf("Writing to an already open file...\n");
write(output, val, strlen(val)+1);

//This isn't allowed
printf("Trying to open file for reading...\n");
int input = open("output.txt", O_RDONLY);

printf("You will not see this message--the process will be killed first\n");
}

{% endcode %}

Seccomp-bpf

このモードでは、Berkeley Packet Filterルールを使用して実装された設定可能なポリシーを使用してシステムコールのフィルタリングが可能です。

{% code title="seccomp_bpf.c" %}

#include <seccomp.h>
#include <unistd.h>
#include <stdio.h>
#include <errno.h>

//https://security.stackexchange.com/questions/168452/how-is-sandboxing-implemented/175373
//gcc seccomp_bpf.c -o seccomp_bpf -lseccomp

void main(void) {
/* initialize the libseccomp context */
scmp_filter_ctx ctx = seccomp_init(SCMP_ACT_KILL);

/* allow exiting */
printf("Adding rule : Allow exit_group\n");
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(exit_group), 0);

/* allow getting the current pid */
//printf("Adding rule : Allow getpid\n");
//seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(getpid), 0);

printf("Adding rule : Deny getpid\n");
seccomp_rule_add(ctx, SCMP_ACT_ERRNO(EBADF), SCMP_SYS(getpid), 0);
/* allow changing data segment size, as required by glibc */
printf("Adding rule : Allow brk\n");
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(brk), 0);

/* allow writing up to 512 bytes to fd 1 */
printf("Adding rule : Allow write upto 512 bytes to FD 1\n");
seccomp_rule_add(ctx, SCMP_ACT_ALLOW, SCMP_SYS(write), 2,
SCMP_A0(SCMP_CMP_EQ, 1),
SCMP_A2(SCMP_CMP_LE, 512));

/* if writing to any other fd, return -EBADF */
printf("Adding rule : Deny write to any FD except 1 \n");
seccomp_rule_add(ctx, SCMP_ACT_ERRNO(EBADF), SCMP_SYS(write), 1,
SCMP_A0(SCMP_CMP_NE, 1));

/* load and enforce the filters */
printf("Load rules and enforce \n");
seccomp_load(ctx);
seccomp_release(ctx);
//Get the getpid is denied, a weird number will be returned like
//this process is -9
printf("this process is %d\n", getpid());
}

{% endcode %}

Docker内のSeccomp

Seccomp-bpfは、コンテナからのsyscallsを効果的に制限し、攻撃対象領域を減少させるためにDockerによってサポートされています。デフォルトでブロックされているsyscallsはhttps://docs.docker.com/engine/security/seccomp/で確認でき、デフォルトのseccompプロファイルはこちらで見つけることができますhttps://github.com/moby/moby/blob/master/profiles/seccomp/default.json。
異なるseccompポリシーを使用してdockerコンテナを実行するには：

docker run --rm \
-it \
--security-opt seccomp=/path/to/seccomp/profile.json \
hello-world

例えば、あるコンテナがunameのようなsyscallを実行するのを禁止したい場合は、https://github.com/moby/moby/blob/master/profiles/seccomp/default.json からデフォルトプロファイルをダウンロードし、リストからuname文字列を削除するだけです。
あるバイナリがdockerコンテナ内で動作しないことを確認したい場合は、straceを使用してバイナリが使用しているsyscallsをリストアップし、それらを禁止することができます。
次の例では、unameのsyscallsが発見されます：

docker run -it --security-opt seccomp=default.json modified-ubuntu strace uname

{% hint style="info" %} アプリケーションを起動するためだけにDockerを使用している場合、strace でプロファイリングし、必要なシステムコールのみを許可することができます。 {% endhint %}

Dockerで無効にする

フラグを使用してコンテナを起動します: --security-opt seccomp=unconfined

htARTE (HackTricks AWS Red Team Expert)でAWSハッキングをゼロからヒーローまで学ぶ！

HackTricksをサポートする他の方法: