真实场景下的 虚拟机逃逸 唐青昊 360 云安全研究部 360 Marvel Team 1 关于360团队 360 MARVEL TEAM（云安全 研究部）聚焦于研究云安全中 崭新的攻击面和防御方案。 在过去一年中，在虚拟化系统 漏洞挖掘工具，真实环境中的 虚拟机逃逸工具，虚拟化漏洞 防御系统3个方面进行了探索。 2 目录 • qemu漏洞在kvm和xen场景下的利用 • docker远程攻击和安全机制绕过 • 针对漏洞利用程序的防御方案 3 QEMU漏洞在KVM和 XEN场景下的利用 4 Qemu在目前的云架构中广泛使用 Qemu提供了虚拟机的 模拟网卡，键盘，磁 盘，显示的功能 • 正在使用的公有云和私有云解决方案大多使用该软件 • Qemu软件会直接处理虚拟机的各种操作，连接了虚拟机 和宿主机，是云架构中的软肋 5 Qemu是目前漏洞高发区 开源虚拟化系统漏洞分布 other 27% Qemu软件漏洞危害 qemu 36% kvm 14% xen kernel 23% • 使宿主机拒绝服务 • 控制宿主机执行任意命令 • 窃取宿主机上其他虚拟机信息 • 可作为跳板，入侵云管理平台 Qemu漏洞局限性和对应解决方法 • 非默认设备漏洞占比例大 -> 使用默认设备漏洞 • Qemu进程权限较小 -> 使用提权漏洞 6 Qemu漏洞利用的整体流程 Step 1 Step 2 进入虚拟机 定位虚拟化系统类型和版本 1.网站入侵 1.通过虚拟机启劢信息 2.服务端软件入侵 3.购买云主机 2.通过api，如hypercall Step 3 Step 4 在漏洞代码中加入载荷 执行漏洞利用代码，获取反馈 1.Shell反弹 2.虚拟机快照窃取 3.内网探测 7 Qemu漏洞利用程序的四个关键阶段 1.保存利用前环境 2.读取libc中函数地址，填充shellcode CVE-2016-2538 ，CVE-2016-3710 3.劫持执行逻辑，分配内存或者使用未使用的内存，修改内存 属性，复制shellcode到目标内存空间，执行shellcode CVE-2015-7504 CVE-2016-3710 4.还原到利用前状态 8 Qemu漏洞利用程序的四个关键阶段 可被越界读写的内存 Lib内存开始 越界之后可读写的内存范围 9 CVE-2016-3710漏洞利用视频 10 DOCKER的远程攻击和 安全机制绕过 11 container breakout原理和关键步骤 1.使用linux kernel提权漏洞进入内核上下文 2.获取当前进程task struct 3.回溯task list获取pid=1的task struct，复制其关键数据 4.切换当前namespace 5.打开root shell，完成breakout 12 docker 安全机制 – Seccomp特性及突破 全称Security computing mode，是linux kernel feature （seccompbpf），进程必须按照配置 策略过滤系统调用。 该特性实现了容器的syscall 白名单化，极大减少了 如图是部分被排除在白名单之外的系统调用。 linux kernel提权漏洞成功 只能使用白名单syscall漏洞才能完成提权。如 的几率。 cve-2014-0038，使用recvmmsg syscall。 13 docker swarm配置风险 • Swarm是docker集群管理工 具，接收客户端请求运行容器 • 错误配置导致监听2375端口 • 远程攻击者连接主机执行 docker命令，包括在容器中执 Swarm原理图 行命令 • 最严重的威胁是远程入侵，幵 breakout，实现远程命令执行 受该风险影响的部分欧美ip列表 14 完整逃逸视频 15 虚拟化系统漏洞 防御思路 16 梯度纵深防御 用户身份鉴别 1.日常数据采集：登陆地址，操作行为 2.异常数据报警：异常监听端口，异常地址，异常上传和执行行为 虚拟化系统加固 1.定期打重要漏洞补丁：kernel补丁，虚拟化系统补丁 2.热补丁系统 3.删除虚拟机中有关虚拟化系统类型和版本的信息 漏洞利用程序阻断系统： 1.针对每一个漏洞对应规则的阻断 2.针对漏洞利用过程关键阶段和数据的阻断 17 Q&A 18 谢 谢 19