Self-Defeating Audits — reproducible lab

 License: MIT (code) / CC BY 4.0 (docs)

रक्षात्मक-सुरक्षा अनुसंधान जो जाँचता है कि क्या निम्न-विशेषाधिकार (low-privilege), केवल-इंजेक्शन (injection-only) डेटाबेस भूमिका एक ट्रिगर-आधारित ऑडिटर को प्रतिवर्ती रूप से अंधा (reversibly blind) कर सकती है और स्टॉक PostgreSQL पर आरोपण (attribution) को दूषित कर सकती है — और कौन-सी सुरक्षाएँ इसे वास्तव में रोकती हैं। सब कुछ डिस्पोजेबल, स्थानीय Docker कंटेनरों में पूर्णतः सिंथेटिक डेटा (RFC 5737 दस्तावेज़ीकरण IPs, काल्पनिक पहचान) के साथ चलता है। कोई वास्तविक सिस्टम, क्रेडेंशियल या डेटा शामिल नहीं है।

प्रयोगशाला संक्षिप्त विवरण self-defeating-audits-lab.md में देखें।

यह क्या करता है

व्यापक रूप से कॉपी किए गए PostgreSQL wiki "ऑडिट ट्रिगर" पीड़ित को बनाता है, फिर PostgreSQL 14 और 16 पर व्यवहार्यता मैट्रिक्स (feasibility matrix) को सेल-दर-सेल काम करता है — बैंड के बाहर (out of band) मापते हुए — कि क्या प्रत्येक हमला वेक्टर वास्तव में किसी राइट को ऑडिट होने से रोकता है, क्या वह शून्य अवशेष (zero residue) के साथ प्रतिवर्ती है, और कौन-सी सुरक्षाएँ उसे मार देती हैं।

इसे चलाएँ

cd scripts
./00_up.sh 16          # bring up postgres:16-alpine on localhost:55432
./run_matrix.sh 16     # run every matrix cell + defenses -> ../results/RESULTS_pg16.md
docker rm -f sda_pg16  # free the port between versions
./00_up.sh 14
./run_matrix.sh 14     # -> ../results/RESULTS_pg14.md
./teardown.sh          # remove all lab containers

Docker आवश्यक है। -alpine इमेज का उपयोग करता है (कार्यात्मक रूप से समान इंजन)।

क्रॉस-इंजन (MySQL परिवार + SQL Server)

अध्ययन को दो और इंजन परिवारों पर दोहराया गया है। MySQL परिवार (MariaDB, DEFINER-ट्रिगर मॉडल) scripts/mysql/ के अंतर्गत:

cd scripts/mysql
./00_up.sh 10.11 && ./run_matrix_mysql.sh 10.11   # -> results/RESULTS_mariadb_10.11.md
docker rm -f sda_maria_10_11 && ./00_up.sh 10.6 && ./run_matrix_mysql.sh 10.6

SQL Server (स्वामित्व-श्रृंखला (ownership-chaining) मॉडल) scripts/mssql/ के अंतर्गत — स्थानीय LocalDB इंस्टेंस पर होस्ट sqlcmd के माध्यम से चलता है (Docker नहीं; निम्न-विशेषाधिकार हमलावर को EXECUTE AS USER प्रतिरूपण (impersonation) से मॉडल किया गया है):

cd scripts/mssql
./run_matrix_mssql.sh        # -> results/RESULTS_mssql.md ; then ./teardown.sh

प्रतिलिपि-योग्यता चेतावनी (SQL Server)। Docker इंजनों के विपरीत, SQL Server तीसरे भाग में होस्ट निर्भरता है: यह स्थानीय SQL Server LocalDB इंस्टेंस पर sqlcmd के माध्यम से चलता है (पथ run_matrix_mssql.sh में हार्डकोड किया गया है), इसलिए यह केवल Windows है और किसी इमेज डाइजेस्ट पर पिन नहीं किया जा सकता। निम्न-विशेषाधिकार हमलावर को EXECUTE AS USER प्रतिरूपण से मॉडल किया गया है (LocalDB केवल Windows-प्रमाणीकरण है)। इंजन-व्यवहार निष्कर्ष (DISABLE शून्य-अवशेष; DDL गार्ड DISABLE को नहीं पकड़ता) सत्र प्रकार से स्वतंत्र हैं और वास्तविक लॉगिन के लिए मान्य होंगे; ऑब्जेक्ट-अनुदान (object-grant) निष्कर्ष प्रतिरूपण द्वारा ईमानदारी से लागू किए गए हैं। यह तीनों इंजनों में सबसे कम पोर्टेबल है — ईमानदारी से नोट किया गया है।

मुख्य क्रॉस-इंजन परिणाम: search_path छाया (shadow) वर्ग (1A/1B) न तो MySQL में और न ही SQL Server में स्थानांतरित होता है (कोई search_path नहीं), लेकिन ट्रिगर-प्रतिस्थापन, निष्क्रिय बाईपास (dormant bypass) और आरोपण विषाक्तता (attribution poisoning) होते हैं। MySQL का DEFINER-विशेषाधिकार बंधन अंधापन को अधिक पता लगाने योग्य बनाता है; SQL Server, PostgreSQL की तरह, बाइट-परिपूर्ण पुनर्स्थापन की अनुमति देता है और एक शून्य-अवशेष DISABLE TRIGGER आदिम जोड़ता है जिसे उसका अपना DDL बचाव नहीं पकड़ता। पूर्ण तीन-इंजन तुलना FINDINGS.md में।

संरचना

मुख्य परिणाम

• 1A एक नए स्कीमा में छाया रोपना — सेटअप पर ही विफल होता है (एक नई भूमिका CREATE SCHEMA नहीं कर सकती), नहीं क्योंकि "pg_catalog जीतता है"। पहले से लिखने-योग्य public में रोपण वास्तव में छाया डालता है: 1S (समान-हस्ताक्षर, स्कीमा-क्रम) और 1T (सटीक ओवरलोड बिल्ट-इन को pg_catalog पहले होने पर भी हरा देता है — प्रकार-विशिष्टता को पृथक करता है) दोनों अंधा (payload-नल) करते हैं।
• 1B सटीक समग्र-प्रकार (composite-type) row_to_json ओवरलोड — ऑडिटर को तब अंधा करता है जब public लिखने-योग्य हो और ट्रिगर search_path पिन न हो। स्टॉक PostgreSQL ≤14 पर सुलभ; 15+ पर misconfiguration-गेटेड। search_path पिन करना इसे हर जगह पराजित करता है।
• 1C किसी ऐप-स्वामित्व वाले ऑडिट फ़ंक्शन को प्रतिस्थापित करना — अंधा करता है, और साफ ऑब्जेक्ट-डिफ़ के साथ प्रतिवर्ती है (शब्दशः स्रोत रीप्ले) — फिर भी एक राइट-बनाम-ऑडिट कैनरी (canary) और एक DDL इवेंट-ट्रिगर इसे पकड़ लेते हैं।
• GUC-गेटेड निष्क्रियता (dormancy) और इन-डेटाबेस आरोपण विषाक्तता दोनों अपनी (misconfig) पूर्वशर्तों के अंतर्गत काम करते हैं; निर्मित ऑडिट पंक्ति अकेले ऑडिट तालिका से अप्रभेद्य है।
• इंजन-स्तरीय लॉगिंग (pgaudit/) + ऐसी सुरक्षाएँ हैं जो सेट को बंद करती हैं।

जिम्मेदार प्रकटीकरण रुख

अनामीकृत/सिंथेटिक डेटा के साथ स्थानीय प्रयोगशाला में स्टॉक PostgreSQL पर दोहराया गया। हमला SQL यहाँ निर्मित प्रयोगशाला स्कीमा तक सीमित है; यह एक व्यवहार्यता/बचाव अध्ययन है, न कि शस्त्रीकृत पेलोड। अंतर्निहित आदिम पहले से सार्वजनिक हैं (CVE-2018-1058; SECURITY DEFINER search_path escalation) — योगदान संयोजन और बचाव मूल्यांकन है। कोई वास्तविक सिस्टम पहचाना नहीं गया है।