Environnement de conteneur de backdoor SSH CVE-2024-3094

Il s'agit d'un environnement exécutant une instance de backdoor sshd CVE-2024-3094, fonctionnant avec cet exploit : https://github.com/amlweems/xzbot.

Expériences

Test dans Docker

CE N'EST PAS un conteneur Docker. J'avais essayé de créer cet environnement de vulnérabilité avec Docker mais j'ai échoué :

1. https://github.com/lockness-Ko/xz-vulnerable-honeypot : xzbot ne fonctionne pas à l'intérieur.
2. construire manuellement le système de fichiers de l'image Docker à partir de zéro avec les dépendances exactement identiques à celles qui ont été exploitées avec succès avec xzbot sur un hôte de VM Ubuntu : l'exploit xzbot a encore échoué.

Je doute que cela soit lié à systemd, car toutes les méthodes que j'ai essayées à l'intérieur de Docker pour lancer SSHD se faisaient depuis la ligne de commande, pas systemd.

Test sur l'hôte

Pour faire suite, j'ai testé avec une expérience : sur la machine VM où sshd(systemd) a été exploité avec succès avec xzbot, j'ai directement lancé /sbin/sshd -D -e -p 2024 avec liblzma.so remplacé, et l'exploitation xzbot a échoué, ce qui indique que cela pourrait être fortement lié à systemd.

Test sur l'hôte avec systemd

J'ai abandonné Docker car c'est un peu complexe de lancer sshd depuis systemd à l'intérieur de Docker.

Finalement, j'ai extrait le système de fichiers minimisé de ma VM, et je l'ai transformé en un mini conteneur basé sur chroot, qui peut facilement s'exécuter sur l'espace de noms de l'hôte avec systemd.

Cela fonctionne à la fois dans mon environnement VM et dans un autre environnement, ce qui permet à l'exploitation xzbot de réussir.

Je n'ai pas encore compris le principe, mais j'ai organisé l'environnement dans ce projet pour la recherche.

Utilisation

Composition de l'environnement

./compose.sh à la racine de ce projet.

Suppression de l'environnement

./remove.sh à la racine de ce projet.

Exploitation

./xzbot -addr 127.0.0.1:2024 -cmd 'whoami > /hello', et vous pouvez voir un fichier nommé hello sous env_fs si l'exploit réussit.

Autres déclarations

Comment se déroule l'exploitation

https://github.com/amlweems/xzbot fournit un bon outil, et il a patché le liblzma.so avec sa propre clé publique, le rendant accessible. Reportez-vous au projet xzbot pour plus de détails.

Notre mini système de fichiers contient le fichier so lzma patché par défaut de xzbot. Et un binaire exécutable xzbot a été compilé statiquement ici. Vous pouvez simplement ./xzbot -addr 127.0.0.1:2024 -cmd 'whoami > /hello' pour tester.

Comment cela fonctionne

Un fichier systemd xzback.service sera déployé dynamiquement dans /etc/systemd/system/ sur votre hôte.

Et xzback.service démarrera avec chroot vers notre mini système de fichiers, sans plus d'influence sur le système de fichiers hôte.