FireEye系统上如何获得root权限


发布人:admin分类:网络安全浏览量:31发布时间:2017-12-12

    FireEye AX 5400是国外安全公司FireEye的一套恶意软件分析系统,日前安全公司Silent Signal通过分析FireEye AX 5400,发现可以通过特殊操作获得FireEye AX 5400系统的ROOT权限,以下为翻译原文:

    几个月以前我们得到一个试用FireEye AX 5400恶意软件分析系统的机会。火眼的系统在捕获传统安全设备无能为力的APT攻击领域非常有名。所以我们也很兴奋的想仔细研究研究一下这套系统。

受限shell的逃逸

    FireEye AX 5400 提供了HTTPS和SSH两种管理方式。SSH登陆之后获得的是一个受限制的shell,跟大多数的网络设备一样。管理员可以通过这个shell来配置设备,但是屏蔽了跟操作系统底层相关的各种操作。因为这个受限shell也是通过一个普通的SSH Server提供服务的。所以也可以使用SCP命令。经过测试发现SCP命令也是受限的。只能读写家目录的文档,而且不能创建目录。我们尝试的第一个方式是想上传一个SSH的公钥,然后就可以不使用密码来连接SSH。因为SCP不能创建目录,所以采用初始化一个到远程系统的SSH连接的方式来创建$HOME/.ssh目录。(初始化ssh连接的时候会创建该目录用于存放known_hosts文件)。但是通过这种方式登陆之后发现默认获得的依然是受限制的shell。

    最后,我们通过ssh的ProxyCommand配置选项实现了获得完整shell,执行任意命。$HOME/.ssh/config文件提供了对SSH客户端的一些配置选项。而ProxyCommand这个配置项可以配置初始化一个SSH连接时执行的命令。我们创建了一个新的config文件。配置ProxyCommand选项为执行一个添加UID为0用户的命令。通过SCP命令上传到服务器上。主要内容如下图所示:

    使用内置的"slogin"命令就可以触发配置文件里的命令执行。

    之后使用新添加的s2crew用户登陆,就获得了一个没有限制的shell。

    测试成功这个问题之后,我们很快联系厂商,上报了这个漏洞。官方已经发布了针对FEOS的补丁。攻击者要想利用这个漏洞首先得有一个管理员账号,所以造成的影响不会很大。但是却给了我们一个深入研究火眼系统内部工作机制的机会,也激励着我们继续研究火眼平台。


被黑站点统计 - 文章版权1、本主题所有言论和图片纯属会员个人意见,与本文章立场无关
2、本站所有主题由该文章作者发表,该文章作者与被黑站点统计享有文章相关版权
3、其他单位或个人使用、转载或引用本文时必须同时征得该文章作者和被黑站点统计的同意
4、文章作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
7、被黑站点统计管理员有权不事先通知发贴者而删除本文

免责声明

本站主要通过网络搜集国内被黑网站信息,统计分析数据,为部署安全型网络提供强有力的依据.本站所有工作人员均不参与黑站,挂马或赢利性行为,所有数据均为网民提供,提交者不一定是黑站人,所有提交采取不记名,先提交先审核的方式,如有任何疑问请及时与我们联系.

admin  的文章


微信公众号

微信公众号


Copyright © 2012-2022被黑网站统计系统All Rights Reserved
页面总访问量:21473487(PV) 页面执行时间:42.282(MS)
  • xml
  • 网站地图