the-z-labs/linux-exploit-suggesterLinuxカーネルの特権昇格エクスプロイトへの露出を監査し、ヒューリスティック分析と設定/sysctlチェックを使用してカーネル強化セキュリティ対策を検証します。
クイックダウンロード:
wget https://raw.githubusercontent.com/mzet-/linux-exploit-suggester/master/linux-exploit-suggester.sh -O les.sh
LESの使用方法と内部動作の詳細:
https://blog.z-labs.eu/2019/05/10/les-paper.html
LESの追加リソース:
https://github.com/mzet-/les-res
LESツールは、特定のLinuxカーネル/Linuxベースのマシンのセキュリティ欠陥を検出するのを支援するために設計されています。以下の機能を提供します:
ツールは（詳細はこちらで説明されているヒューリスティック手法を使用して）、特定のLinuxシステムの公開されているLinux権限昇格エクスプロイトに対する露出を評価します。ツール出力の例:
$ ./linux-exploit-suggester.sh
...
[+] [CVE-2017-16995] eBPF_verifier
Details: https://ricklarabee.blogspot.com/2018/07/ebpf-and-analysis-of-get-rekt-linux.html
Exposure: highly probable
Tags: debian=9.0{kernel:4.9.0-3-amd64},fedora=25|26|27,[ ubuntu=14.04 ]{kernel:4.4.0-89-generic},ubuntu=(16.04|17.04){kernel:4.(8|10).0-(19|28|45)-generic}
Download URL: https://www.exploit-db.com/download/45010
Comments: CONFIG_BPF_SYSCALL needs to be set && kernel.unprivileged_bpf_disabled != 1
[+] [CVE-2017-1000112] NETIF_F_UFO
Details: http://www.openwall.com/lists/oss-security/2017/08/13/1
Exposure: probable
Tags: [ ubuntu=14.04{kernel:4.4.0-*} ],ubuntu=16.04{kernel:4.8.0-*}
Download URL: https://raw.githubusercontent.com/xairy/kernel-exploits/master/CVE-2017-1000112/poc.c
ext-url: https://raw.githubusercontent.com/bcoles/kernel-exploits/cve-2017-1000112/CVE-2017-1000112/poc.c
Comments: CAP_NET_ADMIN cap or CONFIG_USER_NS=y needed. SMEP/KASLR bypass included. Modified version at 'ext-url' adds support for additional distros/kernels
[+] [CVE-2016-8655] chocobo_root
Details: http://www.openwall.com/lists/oss-security/2016/12/06/1
Exposure: probable
Tags: [ ubuntu=(14.04|16.04){kernel:4.4.0-(21|22|24|28|31|34|36|38|42|43|45|47|51)-generic} ]
Download URL: https://www.exploit-db.com/download/40871
Comments: CAP_NET_RAW capability is needed OR CONFIG_USER_NS=y needs to be enabled
...
各エクスプロイトについて、露出が計算されます。以下の「露出」状態が可能です:
非常に高い確率 - 評価対象のカーネルはほぼ確実に影響を受け、PoCエクスプロイトが大きな変更なしでそのまま動作する可能性が非常に高いです。
可能性がある - エクスプロイトが動作する可能性はあるが、対象に合わせるためにPoCエクスプロイトのカスタマイズが必要となる可能性が高いです。
可能性が低い - カーネルが影響を受けているかどうかを確認するために追加の手動分析が必要です。
可能性が非常に低い - カーネルが影響を受けている可能性は非常に低い（エクスプロイトはツールの出力に表示されません）
LESは、Linuxカーネルで利用可能なほとんどのセキュリティ設定をチェックできます。カーネルのコンパイル時設定（CONFIG）だけでなく、実行時設定（sysctl）も検証し、実行中のカーネルのセキュリティ態勢をより完全に把握できます。この機能は、Tobias Klein氏のchecksec.shツールの--kernelスイッチの現代的な後継を意図しています。ツール出力の例:
$ ./linux-exploit-suggester.sh --checksec
Mainline kernel protection mechanisms:
[ Disabled ] GCC stack protector support (CONFIG_HAVE_STACKPROTECTOR)
https://github.com/mzet-/les-res/blob/master/features/stackprotector-regular.md
[ Disabled ] GCC stack protector STRONG support (CONFIG_STACKPROTECTOR_STRONG)
https://github.com/mzet-/les-res/blob/master/features/stackprotector-strong.md
[ Enabled ] Low address space to protect from user allocation (CONFIG_DEFAULT_MMAP_MIN_ADDR)
https://github.com/mzet-/les-res/blob/master/features/mmap_min_addr.md
[ Disabled ] Restrict unprivileged access to kernel syslog (CONFIG_SECURITY_DMESG_RESTRICT)
https://github.com/mzet-/les-res/blob/master/features/dmesg_restrict.md
[ Enabled ] Randomize the address of the kernel image (KASLR) (CONFIG_RANDOMIZE_BASE)
https://github.com/mzet-/les-res/blob/master/features/kaslr.md
[ Disabled ] Hardened user copy support (CONFIG_HARDENED_USERCOPY)
https://github.com/mzet-/les-res/blob/master/features/hardened_usercopy.md
...
公開されているエクスプロイトに対するLinuxマシンの露出を評価:
$ ./linux-exploit-suggester.sh
Linuxマシンのセキュリティ機能の状態を表示:
$ ./linux-exploit-suggester.sh --checksec
指定された'uname'文字列（つまりuname -aコマンドの出力）に基づいて、公開されているエクスプロイトに対するLinuxカーネルの露出を評価:
$ ./linux-exploit-suggester.sh --uname <uname-string>
その他の使用例については、こちらを参照してください。
あなたは今、LESが何であり、あなたのために何ができるかをご存知だと思います。次に、あなたがLESのためにできることを見てみましょう:
新たに公開されたLinux権限昇格エクスプロイトを追加する。
既存のエクスプロイトを様々なLinuxディストリビューションと複数のカーネルバージョンでテストし、その結果をLESのTags形式で文書化します。例えば、タグ: ubuntu=12.04{kernel:3.(2|5).0-(23|29)-generic} は次のことを示します: タグ付けされたエクスプロイトは、Ubuntu 12.04上でカーネル: 3.2.0-23-generic, 3.2.0-29-generic, 3.5.0-23-generic, 3.5.0-29-generic で正しく動作することが確認された。このタグを追加すると、LESはリストされたカーネルバージョンのいずれかでUbuntu 12.04上で実行されたときに、そのエクスプロイトの動的なRankを自動的に強調表示して引き上げます。これにより、ペンテスト中に重大な脆弱性を持つLinuxマシンを迅速に特定するのに役立ちます。
公開されているエクスプロイトは、多くの場合、特定の1つ（またはいくつか）のLinuxディストリビューションおよび/またはカーネルバージョンのみを対象としたPoC目的で書かれています。選択したエクスプロイトのソースを取得し、異なるカーネルバージョンで動作するようにカスタマイズします。次に、カスタマイズしたエクスプロイトのバージョンをext-urlエントリとしてLESに追加し、新たに追加したターゲットを反映するようにTagsを修正します。特定のPoCエクスプロイトを異なるカーネルバージョンに適応させる優れた例については、この記事を参照してください。
選択したカーネル強化セキュリティ対策のソースコード分析を実施し、それをFEATURES配列に追加し（まだ存在しない場合）、分析結果を次の場所で公開します: https://github.com/mzet-/les-res/blob/master/features/<feature-name>.md
bcoles氏のLESへの優れた頻繁な貢献に感謝します。