वीएम एस्केप: 101

इस लेख में, मैं VMware वर्कस्टेशन और वर्चुअलबॉक्स से स्पष्ट (और ऐसा नहीं) से बचने के तरीकों के बारे में बात करने की कोशिश करूंगा, साथ ही साथ कुछ दिलचस्प विशेष मामलों पर विचार करूंगा।



VMware WorkStation, VirtualBox (Oracle VM VirtualBox) - वर्चुअलाइज़ेशन सॉफ़्टवेयर उत्पाद जो आपको एक ही समय में आपके कंप्यूटर पर कई ऑपरेटिंग सिस्टम चलाने की अनुमति देते हैं।

ज्वाइन करने के बजाय

VM कई सुरक्षा शोधकर्ताओं के दिमाग को उत्तेजित करता है। हैकर्स के बीच, इन कारनामों को अत्यधिक उन्नत और जटिल माना जाता है। इस तरह के उदाहरण हैं, लेकिन उनमें से बहुत कम हैं (कुछ सबसे दिलचस्प: VMware CloudBurst , एडवांस्ड एक्सप्लोरेशन ऑफ़ ज़ेन हाइपरवाइज़र Sysret VM एस्केप वल्नरेबिलिटी )। लेकिन यह हमेशा ऐसा नहीं होता है कि वास्तविक (या पीठ पर) प्राप्त करने के लिए वर्चुअल मशीन से आपके कोड के लिए कुछ का आविष्कार किया जाना चाहिए। तो, एक साधारण उपयोगकर्ता पर हमले के मामले में, हम अपनी कुल्हाड़ी ले सकते हैं और सबसे आम चीजों पर काट सकते हैं। आगे की हलचल के बिना, चलो चलते हैं।

सार्वजनिक फ़ोल्डर संक्रमण

सभी समय का सबसे आसान और सबसे प्रभावी तरीका। इस प्रतिबंध के बारे में लिखने के लिए कुछ भी विशेष नहीं है, मैं केवल यह नोटिस कर सकता हूं कि साझा नेटवर्क संसाधनों के माध्यम से दुर्भावनापूर्ण कोड का प्रसार ऐतिहासिक रूप से एनटी सिस्टम के लिए कई कीड़े में लागू किया गया है।



VMware कार्य केंद्र के लिए साझा फ़ोल्डर विकल्प





VirtualBox के लिए सार्वजनिक फ़ोल्डर विकल्प

कैप्चर किए गए USB उपकरणों का संक्रमण

पिछले विधि पर विचार करने के लिए प्रभावशीलता में हीन नहीं। अंतर्निहित वॉचडॉग के साथ ITW मैलवेयर (एक ऐतिहासिक उदाहरण, ज्वाला ) के रूप में भी लागू किए गए हैं, जो USB उपकरणों के कनेक्शन की निगरानी करते हैं जो स्वचालित रूप से निष्पादन योग्य फ़ाइलों को संक्रमित करते हैं, जो दुर्भाग्यपूर्ण ऑटोरन.इन फ़ाइल, LNK भेद्यता, आदि को अग्रेषित करते हैं।



स्वाभाविक रूप से, इस पद्धति की मुख्य स्थिति आभासी मशीन के लिए एक विशिष्ट कॉन्फ़िगरेशन के साथ एक यूएसबी नियंत्रक डिवाइस की उपस्थिति है।



VMware वर्कस्टेशन में, यह मुझे लगता है कि USB नियंत्रक की सेटिंग्स को गलत तरीके से लागू किया गया है: फ़िल्टर सभी उपकरणों पर तुरंत काम करता है, और नई वर्चुअल मशीन बनाते समय ये खतरनाक सेटिंग्स डिफ़ॉल्ट रूप से सेट होती हैं।



VMware कार्य केंद्र के लिए USB नियंत्रक विकल्प







वर्चुअलबॉक्स, इसके विपरीत, अधिक लचीला है, यह हमें कुछ उपकरणों पर नियंत्रक फिल्टर स्थापित करने की अनुमति देता है, हालांकि एक ही समय में किसी भी यूएसबी को पकड़ने के लिए एक खाली फिल्टर स्थापित करना संभव है, जो सुरक्षा के मामले में खराब है।



वर्चुअलबॉक्स के लिए USB नियंत्रक विकल्प

एक साझा क्लिपबोर्ड पर हमला

VMware कार्य केंद्र

वर्चुअल मशीन सेटिंग्स

आरंभ करने के लिए, आइए DnD (Drag'n'Drop) की वास्तुकला और एक सामान्य क्लिपबोर्ड पर एक सामान्य नज़र डालें। गेस्ट और होस्ट के बीच डेटा ट्रांसफर गेस्टआरपीसी तंत्र के माध्यम से कार्यान्वित किया जाता है, जो अनिवार्य रूप से बैकडोर I / O (0x1E) कमांड है (उन लोगों के लिए जो VMware BackDoor I / O क्या जानते हैं या भूल गए हैं: https://sites.google.com/ साइट / chitchatvmback / पिछले दरवाजे )।



डीएनडी का मॉडल, एक सामान्य क्लिपबोर्ड जो एक वर्ग पदानुक्रम ( ओपनटूल स्रोत से लिया गया) पर आधारित है:







बदले में, गेस्टआरपीसी के पास कमांडों की एक तालिका भी है, जिनमें से पूरी सूची केवल वीएमवेयर के पूरी तरह से उलट के बाद प्राप्त की जा सकती है (वैसे, आरपीसीटूल को अतिथि उपयोगिताओं के मानक सेट में शामिल किया गया है, जिसके साथ आप तदनुसार आरआरपीसी कमांड भेज सकते हैं)। डीएनडी और सामान्य क्लिपबोर्ड के मामले में, निम्नलिखित कमांड का उपयोग किया जाता है (इसे "ट्रांसपोर्ट इंटरफेस" भी कहा जाता है):

dnd.transport

copypaste.transport



प्रत्येक परिवहन इंटरफ़ेस के पास अपने स्वयं के आदेश होते हैं, जो पहले से ही डेटा पैकेट के सेवा शीर्षकों में प्रेषित होते हैं।



इसलिए, उदाहरण के लिए, copypaste.transport के लिए कमांड का सेट इस तरह दिखता है:

typedef enum { CP_CMD_REQUEST_CLIPBOARD = 2000, CP_CMD_REQUEST_FILES, CP_CMD_RECV_CLIPBOARD, CP_CMD_SEND_CLIPBOARD, CP_CMD_GET_FILES_DONE, CP_CMD_SEND_FILES_DONE, } CopyPasteCmdV4;
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

पैकेज CP_CMD_SEND_CLIPBOARD, क्लिपबोर्ड सीधे लाल रंग में हाइलाइट किया गया

क्रॉस-प्लेटफॉर्म प्रारूप:







तो, आम VMware क्लिपबोर्ड स्पूफिंग के लिए संभावित परिदृश्य:

• जब कोई उपयोगकर्ता किसी निष्पादन योग्य फ़ाइल को अतिथि से होस्ट में कॉपी करता है;
• जब कोई उपयोगकर्ता होस्ट पर एक निष्पादन योग्य फ़ाइल को अतिथि मशीन में इंटरमीडिएट फ़ोकस के साथ कॉपी करता है।

तदनुसार, इसका एहसास या तो आपके क्लिपबोर्ड मॉनिटर को लिखने से होता है (बैकड्रॉप I / O के माध्यम से सीधे अनुरोध भेजें), या कई हुक स्थापित करने के साथ-साथ अतिथि उपयोगिता vmtoolsd.exe प्रक्रिया (NT सिस्टम के तहत) में अपने दुर्भावनापूर्ण कोड को इंजेक्ट करें।



जाहिर है, एक निष्पादन योग्य फ़ाइल के बजाय, कोई भी कार्यालय शोषण दस्तावेज़ हो सकता है, आदि।



इस हमले का एक सरल प्रदर्शन (अतिथि उपयोगिता में सीधे इंजेक्ट करें):

VirtualBox

दुर्भाग्य से (हमलावर के लिए), वर्चुअलबॉक्स आधिकारिक तौर पर डीएनडी और सामान्य क्लिपबोर्ड पर निष्पादन योग्य फ़ाइलों के हस्तांतरण का समर्थन नहीं करता है।







लेकिन मैं मदद नहीं कर सकता लेकिन आधिकारिक वर्चुअलबॉक्स फोरम पर स्थित तीसरे पक्ष के प्रोजेक्ट वीएमट्रांसफेरफाइल्स का उल्लेख कर सकता हूं।



इसके साथ, आप निश्चित रूप से, अपने स्वयं के जोखिम और जोखिम पर, किसी भी फाइल को स्थानांतरित करने के लिए कार्यक्षमता का विस्तार कर सकते हैं।

सॉफ्टवेयर पर हमला अप्रत्यक्ष रूप से वर्चुअलाइजेशन से संबंधित है

यह कोई रहस्य नहीं है कि सूचना सुरक्षा के क्षेत्र में कई विविध शोधकर्ता अपने काम में आभासी मशीनों का उपयोग करते हैं। उदाहरण के लिए, मैलवेयर विश्लेषक अक्सर वर्चुअलाइजेशन के गुणों का उपयोग करके ट्रैफ़िक या मैलवेयर व्यवहार का विश्लेषण करते हैं।

यहां से इस सबटॉपिक की जड़ें बढ़ती हैं: इस या उस काम के दौरान उनके द्वारा उपयोग किए गए सॉफ़्टवेयर के अनुसार बीट करना।

Wireshark

यह लंबे समय से विभिन्न मैलवेयर के सभी प्रकारों में विभिन्न अनुसंधान सॉफ़्टवेयर के लिए काली सूचियों का उपयोग करने के लिए घायल हो गया है, और Wireshark वास्तव में इस सूची के सबसे लोकप्रिय उम्मीदवारों में से एक है।



उदाहरण रोविनिक्स बूटकिट ब्लैकलिस्ट:







इसलिए, बहुत बार मैंने Wireshark डिटेक्शन को बायपास करने के लिए एक सरल और आलसी निर्णय देखा: बस इसे अपने मेजबान पर चलाएं, वर्चुअल मशीन के ट्रैफ़िक का विश्लेषण करें। इसके अलावा, कई सैंडबॉक्स सिस्टम स्वचालित रूप से ट्रैफ़िक पीक फ़ाइलों को उत्पन्न करते हैं, जो बदले में, आमतौर पर Wireshark का उपयोग करके मेजबान पर विश्लेषण किया जाता है। इसलिए VM-भागने के उद्देश्यों के लिए Wireshark dissectors में विभिन्न दूरस्थ और स्थानीय बग का उपयोग करना एक अच्छा विचार है।



भेद्यता के एक उदाहरण के रूप में, मैंने CVE-2014-2299 का उपयोग करने का फैसला किया - एमपीईजी फ़ाइलों के पार्सर में एक बफर अतिप्रवाह। पहले से ही एक शोषण स्रोत कोड है, मेटास्प्लोइट के लिए एक मॉड्यूल ।



मुकाबला कैलकुलेटर के साथ वीडियो प्रदर्शन:

VirtualKD

शुरू करने से पहले, मैं आपका ध्यान एक पुराने, लेकिन दिलचस्प लेख पर आकर्षित करता हूं कि किसी वर्चुअल मशीन से होस्ट को दूरस्थ कर्नेल डिबगिंग प्रोटोकॉल के माध्यम से कैसे WinDbg डीबगर सक्षम किया जाए।



VirtualKD एक ओपन-सोर्स प्रोजेक्ट है जिसे VMware या VirtualBox के तहत कर्नेल डीबगिंग प्रदर्शन को बेहतर बनाने के लिए डिज़ाइन किया गया है। यह एक बहुत ही कस्टम विधि द्वारा कार्यान्वित किया जाता है (मैं वीएमवेयर के साथ कार्यान्वयन पर विचार करूंगा) - मेजबान पक्ष पर, एक dll को vmware-vmx प्रक्रिया (हमारी वर्चुअल मशीन की प्रक्रिया) में इंजेक्ट किया जाता है, जो बदले में पैच / नए कमांड और इसके हैंडलर को GuestRpc टेबल में जोड़ता है। अतिथि की ओर से, KdvM.DLL ड्राइवर में कार्यान्वित उनके कार्यान्वयन के लिए कई Kd * फ़ंक्शन (KDCOM.DLL) इंटरसेप्ट किए गए हैं।



संक्षेप में, एक सरल योजना प्राप्त की जाती है - KDCOM प्रोटोकॉल को होस्ट करने के लिए VMware BackDoor I / O (GuestRpc) के माध्यम से सुरंग बनाई जाती है और फिर सीधे पाइप चैनल पर तैनात किया जाता है जिसे WinDbg सुनता है।



वर्चुएलकेडी आर्किटेक्चर (वीएमवेयर के लिए विशिष्ट):







और सब कुछ ठीक होगा, उपयोगिता वास्तव में काम करती है, लेकिन मेरे विषय के कारण, मैंने त्वरित बग की तलाश में इसके स्रोतों से गुजरने का फैसला किया। दरअसल, एक घंटे के भीतर एक तुच्छ पूर्णांक ओवरफ़्लो पाया गया था।



तो, हेडर फ़ाइल rpcdisp.h में, KdRpcDispatcher :: SendPacket पद्धति में, अतिरिक्त सेवा सूचना के साथ लिपटे KDCOM पैकेट के डेटा को संसाधित किया जाता है।

इस डेटा में से कुछ सही ढंग से मान्य नहीं है।







जैसा कि हम चित्र में देखते हैं, pParams [1] और pParams [2] को जोड़ने का परिणाम आसानी से ओवरफ्लो किया जा सकता है (उदाहरण के लिए, pParams1 == 0xFFFF0000 और pParams2 = 0x18000 के परिणामस्वरूप हमें 0x8000 मिलेंगे)। और आगे कोड के साथ pParams [1] का उपयोग डेटा के ऑफसेट के रूप में किया जाएगा, जिसके परिणामस्वरूप सामान्य रीडिंग त्रुटि होगी।



आपको याद दिला दूं कि इस डेटा का प्रसंस्करण vmware-vmx वर्चुअल मशीन की प्रक्रिया में इंजेक्ट .ll मॉड्यूल के संदर्भ में है, एक असाधारण स्थिति जिसमें VMware वर्चुअल मशीन प्रक्रिया क्रैश हो जाती है।



स्वाभाविक रूप से, मैंने इस बग के बारे में sysprogs टीम को लिखा, जिसमें उन्होंने इस शैली में उत्तर दिया: "धन्यवाद, लेकिन हमने इसे पैच नहीं किया, क्योंकि हम प्रभाव नहीं देखते"। इसके अलावा, किसी कारण से उन्हें लगा कि बग को केवल अतिथि के तहत कर्नेल-मोड में संचालित किया जाता है, हालांकि वास्तव में सब कुछ बिल्कुल विपरीत है और बेहतर भी है - ऑपरेशन को किसी भी विशेषाधिकार की आवश्यकता नहीं है! वास्तव में, शोषण सीधे बैकडोर I / O को हमारे दुर्भावनापूर्ण पैकेज भेजता है, अवधारणा का आकार सिद्धांत रूप में, बहुत छोटा है, और यदि आप चाहें तो इसे किसी भी मैलवेयर में लागू करना आसान है।



मैं यह भी नोट करना चाहता हूं कि यह DoS VM बग बहुत जल्दी मिल गया था, और कौन जानता है - शायद VirtualKd में अधिक महत्वपूर्ण कमजोरियों को वास्तविक वीएम-भागने के लिए दफन किया गया है। जो लोग शोषण को करीब से देखना चाहते हैं, उनके लिए इसका स्रोत कोड है ।



और इस हमले का एक छोटा प्रदर्शन:

लिगेसी वल्नरेबल टेक्नोलॉजीज का उपयोग करना

VMGL

यह विशेष मामला, हालांकि यह केवीएम और एक्सएन से अधिक संबंधित है, जैसा कि मुझे लगता है, इस विषय को पूरी तरह से चित्रित करता है।



वीएमजीएल फ्रंट-ओपन ओपनगेल 3 डी हार्डवेयर त्वरण पर एक लंबी-परित्यक्त परियोजना है, हालांकि, हालांकि, अभी भी लिंक हैं - उदाहरण के लिए, केवीएम परियोजना के आधिकारिक पृष्ठ पर।



प्रोजेक्ट साइट , जहाँ आप स्रोत कोड प्राप्त कर सकते हैं।



मोटे तौर पर, VMGL एक क्लाइंट-सर्वर तकनीक है जो टीसीपी / आईपी प्रोटोकॉल स्टैक जीएल कमांड के माध्यम से एक अतिथि वर्चुअल मशीन से सीधे मेजबान जीपीयू को भेजा जाता है।

वीएमजीएल आर्किटेक्चर

कार्यान्वयन को अधिक गहराई से अध्ययन करने और स्रोत कोड को देखने के बाद, मैंने देखा कि क्रोमियम परियोजना VMGL का आधार है। तो, यह वही क्रोमियम परियोजना भी VirtualBox आभासी मशीनों के 3 डी-त्वरण को रेखांकित करती है और पहले से ही बग के लिए काफी सफलतापूर्वक अध्ययन किया गया है।



इसलिए, VMGL की स्थापना से आपको न केवल त्वरण मिलता है, बल्कि क्रोमियम इंजन के डिजाइन की कम से कम तीन ज्ञात कमजोरियां (CVE-2014-0981; CVE-2014-0982; CVE-2014-0983)।



यद्यपि भेद्यताएं हमें सीधे कोड निष्पादित करने से रोकती हैं, फिर भी एक सैद्धांतिक वीएम एस्केप संभव है, जो निश्चित रूप से आपको चिंतित होना चाहिए अगर आप अभी भी किसी अजीब कारण के लिए इस परित्यक्त परियोजना का उपयोग कर रहे हैं।



वर्चुअलबॉक्स के हिस्से के रूप में पैचेड क्रोमियम का एक टुकड़ा (उपयोग \ net.c) (अब कमजोर कमांड हैंडलर बस मेजबान पर शारीरिक रूप से मौजूद नहीं है):

निष्कर्ष

ये सरल और काफी आसान उपयोग के तरीके परिणाम लाते हैं और हमने कुछ हमलों में अभ्यास में सामना किया है। इसलिए वीएम एस्केप न केवल विभिन्न सुरक्षा तंत्रों की परिधि के साथ द्विआधारी भेद्यता का कट्टर शोषण है, बल्कि पुरानी भूल भी है।