Wykradanie haseł z pamięci systemów Linux

Czytelnicy Sekuraka wiedzą już, że systemy Windows przechowują hasła w pamięci operacyjnej w postaci jawnej, a ich wydobycie jest banalnie proste. Dziś, dla porównania, przedstawiamy podobne zagadnienie na przykładzie Linuksa.

Podobnie, jak w przypadku Windowsów, spróbujemy przeprowadzić mały praktyczny eksperyment. Zrzucimy do pliku zawartość pamięci operacyjnej komputera pracującego pod kontrolą systemu operacyjnego Kali Linux, a następnie w wynikowym zbiorze poszukamy haseł użytkowników.

Kali Linux to dystrybucja pochodna Debiana (oficjalnie zaakceptowana jako Debian Derivative), stanowiąca zintegrowaną platformę do przeprowadzania testów penetracyjnych oraz audytów bezpieczeństwa. Do poniższych testów każdy może jednak wybrać dowolną inną dystrybucję.

Akwizycja pamięci fizycznej pod Linuksem

Przez akwizycję pamięci fizycznej rozumiemy wykonanie obrazu zawartości pamięci RAM w dowolnie wybranym momencie działania systemu operacyjnego oraz zachowanie tak przygotowanego zrzutu do dalszej analizy. Jak się okazuje, we współczesnych Linuksach nie jest to wcale takie proste, nawet jeśli dysponujemy kontem roota.

Dawniej wykonanie zrzutu całej pamięci fizycznej pod Linuksem było możliwe np. z wykorzystaniem programu dd i urządzenia /dev/mem. Jednak w wersji jądra 2.6 ze względów bezpieczeństwa zaczęto wprowadzać ograniczenia na bezpośredni dostęp do całej pamięci fizycznej. My jednak w tym celu skorzystamy ze specjalnego narzędzia, jakim jest Linux Memory Extractor (LiME).

LiME pozwala na zrzucenie zawartości całej pamięci fizycznej dzięki wykorzystaniu mechanizmu Loadable Kernel Module (LKM). Spójrzmy, w jaki sposób możemy przygotować to narzędzie do działania.

root@kali:~# cd /usr/local/src/
root@kali:~# wget http://lime-forensics.googlecode.com/files/lime-forensics-1.1-r14.tar.gz
root@kali:~# tar zxfv lime-forensics-1.1-r14.tar.gz
root@kali:~# cd src
root@kali:~# make
...
root@kali:~#

Natomiast samo zainstalowanie modułu oraz zrzucenie zawartości pamięci fizycznej do pliku (/root/memdump) w przypadku naszego testowego systemu jest możliwe w następujący sposób:

insmod lime-3.7-trunk-686-pae.ko "path=/root/memdump format=lime"

Pamięć absolutna

Świetnie, udało się dokonać akwizycji pamięci naszego Linuksa. Poszukajmy więc, czy w pamięci operacyjnej nie znajduje się przypadkiem hasło jednego z zalogowanych obecnie użytkowników…

Zrzut pamięci zawiera moje hasło

Jak widać, zrzut pamięci zawiera hasło w postaci jawnej. Dalsza analiza pozwala na odnalezienie haseł użytkowników, którzy korzystali z systemu lokalnie oraz tych korzystających z SSH. Hasła pozostają w pamięci nawet, gdy użytkownik wylogował się już z systemu. Co ważne, często zdarza się tak, że zawartość pamięci poprzedzająca hasło (np. komendy typu ssh, nazwy użytkowników itp.) sugeruje, że mamy do czynienia właśnie z poświadczeniami. Spójrzmy.

Hasła użytkowników zawarte w zrzucie pamięci

Jak pokazaliśmy, w pamięci fizycznej zarządzanej przez systemy operacyjne Linux również znajdziemy hasła użytkowników w jawnej postaci, a pomimo dodatkowych mechanizmów ochronnych obecnych w aktualnych wersjach jądra, administrator bez większego problemu poradzi sobie z wykonaniem zrzutu pamięci operacyjnej.

Podsumowując, zachęcamy wszystkich do przetestowania pod podobnym kątem własnych systemów operacyjnych oraz rozmaitych aplikacji, którym na co dzień powierzamy nasze poświadczenia!

– Wojciech Smol, (wojciech.smol<at>sekurak.pl)