Пользователи и пароли

Стать root нужно не только хакерам. Нередко Вам самим, как владельцу компьютера, требуется доступ root для его администрирования. Переключение в root — вполне привычное действие для пользователей Linux, и для этой цели существуют две утилиты: su и sudo.

В этом задании мы рассмотрим более старую из них — su (команда substitute user, то есть «сменить пользователя»). Сегодня она практически не используется для повышения привилегий до root, однако это элегантная утилита из более цивилизованных времён, с которой мы начнём знакомство.

su — это бинарный файл с битом SUID (подробно о битах мы поговорим уже в следующем модуле):

hacker@user:~$ ls -l /usr/bin/su
-rwsr-xr-x 1 root root 232416 Dec 1 11:45 /usr/bin/su
hacker@user:~$

Благодаря установленному биту SUID утилита su запускается от имени root. Работая с правами root, она может запустить оболочку от root! Разумеется, su не предоставляет привилегии кому попало: прежде чем разрешить пользователю повысить права до root, она проверяет, знает ли пользователь пароль root:

hacker@user:~$ su
Password: 
su: Authentication failure
hacker@user:~$

Именно необходимость знать пароль root и обусловила устаревание su. На современных системах паролей root практически не бывает, а для предоставления прав администратора применяются другие механизмы (с ними мы познакомимся позже).

Но В ЭТОМ задании (и только в нём) пароль root существует. Он равен ctf-school-secret, и Вы должны передать его команде su, чтобы стать root. Сделайте это и прочитайте флаг!

ПРИМЕЧАНИЕ:

В операционных системах семейства Linux когда вы вводите пароль в терминале (например, при использовании команды su или для входа в систему), символы не отображаются на экране. Это сделано для того, чтобы никто посторонний не смог подсмотреть ваш пароль — ни количество символов в нем, ни тем более его содержимое. Даже точки или звездочки (как на многих сайтах) не показываются, чтобы нельзя было догадаться о длине пароля.

Без аргументов su запускает оболочку root (после аутентификации по паролю root). Однако Вы можете передать имя пользователя в качестве аргумента, чтобы переключиться именно на этого пользователя, а не на root.

Например:

hacker@user:~$ su some-user
Password:
some-user@user:~$

Попробуйте смену пользователя на практике.

В этом задании Вам необходимо переключиться на пользователя mokando, а затем запустить /challenge/run. Пароль mokando — dont-hack-me.

Удачи!

Когда Вы вводите пароль для su, команда хеширует его и сравнивает результат с сохранённым значением для данного пользователя. Раньше пароли хранились в /etc/passwd, но поскольку этот файл доступен для чтения всем пользователям, хранить там пароли небезопасно — их перенесли в /etc/shadow. Вот пример файла /etc/shadow из предыдущего уровня:

root:$6$s74oZg/4.RnUvwo2$hRmCHZ9rxX56BbjnXcxa0MdOsW2moiW8qcAl/Aoc7NEuXl2DmJXPi3gLp7hmyloQvRhjXJ.wjqJ7PprVKLDtg/:19921:0:99999:7:::
daemon:*:19873:0:99999:7:::
bin:*:19873:0:99999:7:::
sys:*:19873:0:99999:7:::
sync:*:19873:0:99999:7:::
games:*:19873:0:99999:7:::
man:*:19873:0:99999:7:::
lp:*:19873:0:99999:7:::
mail:*:19873:0:99999:7:::
news:*:19873:0:99999:7:::
uucp:*:19873:0:99999:7:::
proxy:*:19873:0:99999:7:::
www-data:*:19873:0:99999:7:::
backup:*:19873:0:99999:7:::
list:*:19873:0:99999:7:::
irc:*:19873:0:99999:7:::
gnats:*:19873:0:99999:7:::
nobody:*:19873:0:99999:7:::
_apt:*:19873:0:99999:7:::
systemd-timesync:*:19901:0:99999:7:::
systemd-network:*:19901:0:99999:7:::
systemd-resolve:*:19901:0:99999:7:::
mysql:!:19901:0:99999:7:::
messagebus:*:19901:0:99999:7:::
sshd:*:19901:0:99999:7:::
hacker::19916:0:99999:7:::
mokando:$6$bEFkpM0w/6J0n979$47ksu/JE5QK6hSeB7mmuvJyY05wVypMhMMnEPTIddNUb5R9KXgNTYRTm75VOu1oRLGLbAql3ylkVa5ExuPov1.:19921:0:99999:7:::

В каждой строке поля разделены символом :: первое поле — имя пользователя, второе — пароль. Значение * или ! означает, что вход по паролю для этой учётной записи отключён; пустое поле означает отсутствие пароля (нередко встречающаяся ошибка конфигурации, которая в некоторых случаях позволяет выполнить su без пароля); длинная строка, как у mokando — $6$bEFkpM0w/6J0n979$47ksu/JE5QK6hSeB7mmuvJyY05wVypMhMMnEPTIddNUb5R9KXgNTYRTm75VOu1oRLGLbAql3ylkVa5ExuPov1. — это результат одностороннего шифрования (хеширования) пароля mokando с предыдущего уровня (в данном случае dont-hack-me). Остальные поля файла несут другую информацию; подробнее о них можно прочитать здесь.

Когда Вы вводите пароль в su, команда хеширует его и сравнивает результат с сохранённым значением. Если они совпадают, su открывает Вам доступ к учётной записи пользователя. Но что делать, если пароль неизвестен?

Если у Вас есть хеш пароля, его можно подменить. Несмотря на то что /etc/shadow по умолчанию доступен для чтения только root, утечки случаются. Например: резервные копии нередко хранятся в незашифрованном виде с недостаточным контролем доступа на файловых серверах, что уже стало причиной бесчисленных утечек данных.

Если злоумышленник получает доступ к утёкшему файлу /etc/shadow, он может приступить к взлому паролей. Для этого используется знаменитая утилита John the Ripper, например так:

hacker@user:~$ john ./my-leaked-shadow-file
Loaded 1 password hash (crypt, generic crypt(3) [?/64])
Will run 32 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
password1337      (mokando)
1g 0:00:00:22 3/3 0.04528g/s 10509p/s 10509c/s 10509C/s lykys..lank
Use the "--show" option to display all of the cracked passwords reliably
Session completed
hacker@user:~$

Здесь John the Ripper подобрал хеш пароля mokando и восстановил его исходное значение — password1337.

В задании смоделирована описанная выше ситуация: Вам предоставляется утёкший файл /etc/shadow (хранится в /challenge/shadow-leak). Проанализируйте его утилитой John the Ripper (это может занять несколько минут), переключитесь на пользователя mokando с помощью su и запустите /challenge/run, чтобы получить флаг!

В прежние времена на типичной системе Linux существовал пароль root, который администраторы использовали для переключения в root через su (предварительно войдя в систему под своей обычной учётной записью). Однако пароли root неудобны в обслуживании, они могут утекать и плохо масштабируются в крупных средах (например, в парках серверов).

Чтобы решить эти проблемы, в последние десятилетия мир перешёл от администрирования через su к администрированию через sudo (Интересный факт: изначально sudo расшифровывалось как superuser do — «выполнить от имени суперпользователя», но впоследствии получило значение «su do»; поскольку su означает «substitute user», нынешняя расшифровка sudo — «substitute user, do», то есть «выполнить от имени другого пользователя»). В отличие от su, которая по умолчанию запускает оболочку от имени указанного пользователя, sudo по умолчанию выполняет команду от имени root:

hacker@user:~$ whoami
hacker
hacker@user:~$ sudo whoami
root
hacker@user:~$

Или, в более практичном контексте — для получения флагов:

hacker@user:~$ grep hacker /etc/shadow
grep: /etc/shadow: Permission denied
hacker@user:~$ sudo grep hacker /etc/shadow
hacker:$6$Xro.e7qB3Q2Jl2sA$j6xffIgWn9xIxWUeFzvwPf.nOH2NTWNJCU5XVkPuONjIC7jL467SR4bXjpVJx4b/bkbl7kyhNquWtkNlulFoy.:19921:0:99999:7:::
hacker@user:~$

В отличие от su, которая полагается на аутентификацию по паролю, sudo проверяет политики, чтобы определить, имеет ли пользователь право выполнять команды от имени root. Эти политики задаются в файле /etc/sudoers; их детальное изучение выходит за рамки нашего курса, однако существует немало материалов для тех, кто хочет разобраться глубже!

Итак, мир перешёл на sudo, оставив su позади (по крайней мере в контексте системного администрирования). Примечательно, что привилегированный режим самого ctf school работает именно так: Вам предоставляется доступ sudo для повышения привилегий.

В текущем задании Вам будет предоставлен доступ sudo, с помощью которого Вы должны прочитать флаг. Удачи!