搜索

[15898] 2020-09-27_Cnitch：一款Docker引擎运行进程权限检测工具

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-09-27_Cnitch：一款Docker引擎运行进程权限检测工具 C n i t c h ： 一 款 D o c k e r 引 擎 运 行 进 程 权 限 检 测 工 具 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 9 - 2 7 C n i t c h C n i t c h ， 又 名 S n i t c h 或 C o n t a i n e r   S n i t c h ， 它 是 一 款 针 对 D o c k e r 引 擎 的 运 行 进 程 权 限 检 测 工 具 。 C n i t c h 本 质 上 来 说 是 一 个 简 单 的 框 架 和 命 令 行 工 具 ， 该 工 具 可 以 帮 助 研 究 人 员 监 控 D o c k e r 容 器 内 的 运 行 进 程 ， 如 果 有 进 程 是 以 r o o t 权 限 的 话 ， 研 究 人 员 将 第 一 时 间 收 到 C n i t c h 的 通 知 。 为 什 么 我 们 需 要 去 识 别 D o c k e r 引 擎 内 以 r o o t 权 限 运 行 的 进 程 呢 ？ 如 果 你 还 不 知 道 的 话 ， 可 以 先 看 看 以 下 这 篇 文 章 。 h t t p : / / c a n i h a z n o n p r i v i l e g e d c o n t a i n e r s . i n f o / 当 时 本 人 在 开 发 C n i t c h 的 过 程 中 ， 我 以 为 我 遇 到 了 一 个 应 用 程 序 漏 洞 ， 当 时 C n i t c h 报 告 自 身 是 一 个 D o c k e r 容 器 内 的 r o o t 进 程 。 当 时 我 不 确 定 到 底 发 生 什 么 了 ， 因 为 根 据 D o c k e r f i l e 内 的 声 明 ， 我 创 建 的 用 户 并 不 是 以 r o o t 权 限 下 运 行 的 。 经 过 大 量 的 调 试 和 验 证 ， 我 决 定 再 次 检 查 D o c k e r f i l e 的 内 容 ， 其 内 容 如 下 ： 当 我 在 测 试 应 用 程 序 容 器 以 了 解 到 底 发 生 了 什 么 时 ， 我 必 须 要 将 U S E R 命 令 注 释 掉 。 经 过 一 系 列 研 究 之 后 ， 我 便 将 发 现 的 问 题 以 及 解 决 方 案 集 成 到 了 C n i t c h 之 中 。 工 具 运 行 机 制 工 具 运 行 机 制 C n i t c h 能 够 通 过 A P I 来 跟 D o c k e r 引 擎 连 接 ， 并 查 询 当 前 正 在 运 行 的 容 器 。 接 下 来 ， 该 工 具 将 会 检 测 容 器 内 正 在 运 行 的 进 程 ， F R O M   a l p i n e R U N   a d d u s e r   - h   / h o m e / c n i t c h   - D   c n i t c h   c n i t c h C O P Y   . / c m d / c n i t c h   / h o m e / c n i t c h / R U N   c h m o d   + x   / h o m e / c n i t c h / c n i t c h # U S E R   c n i t c h E N T R Y P O I N T   [ " / h o m e / c n i t c h / c n i t c h " ]
并 识 别 运 行 的 进 程 是 否 是 以 r o o t 用 户 权 限 运 行 的 。 当 C n i t c h 检 测 到 了 一 个 r o o t 进 程 之 后 ， 便 会 将 相 关 信 息 发 送 给 C n i t c h 中 的 一 个 可 配 置 报 告 模 块 ， 并 允 许 研 究 人 员 对 相 关 信 息 进 行 编 辑 或 进 行 其 他 操 作 ： 报 告 模 块 报 告 模 块 目 前 ， C n i t c h 可 以 将 发 现 的 信 息 报 告 给 S t a t s D 和 S t d O u t ， 报 告 后 端 允 许 研 究 人 员 自 行 扩 展 ， 以 便 支 持 任 何 后 台 服 务 器 。 除 此 之 外 ， C n i t c h 的 可 扩 展 特 性 还 可 以 帮 助 研 究 人 员 构 建 一 个 后 台 系 统 以 支 持 日 志 存 储 或 日 志 聚 合 ， 而 且 整 个 过 程 非 常 简 单 。 S t a t s D C n i t c h 会 利 用 c n i t c h . e x c e p t i o n . r o o t _ p r o c e s s 方 法 将 检 测 到 的 信 息 发 送 给 S t a t s D ， 并 且 每 条 信 息 都 会 使 用 C n i t c h 示 例 的 h o s t 名 称 以 及 c o n t a i n e r 名 称 进 行 标 记 。 S t d O u t S t d O u t 是 一 个 简 单 的 输 出 日 志 记 录 组 件 ， 它 可 以 接 收 并 记 录 C n i t c h 反 馈 回 来 的 监 测 信 息 。 工 具 下 载 工 具 下 载 广 大 研 究 人 员 可 以 使 用 下 列 命 令 将 项 目 源 码 克 隆 至 本 地 ： 工 具 运 行 工 具 运 行 我 们 可 以 在 一 个 D o c k e r 容 器 内 运 行 C n i t c h ， 也 可 以 直 接 在 本 地 运 行 ， 但 在 工 具 运 行 之 前 需 要 设 置 服 务 器 的 U R L 地 址 、 D o c k e r A P I 和 s o c k e t 路 径 ， 所 有 的 参 数 都 需 要 通 过 环 境 变 量 “ D O C K E R _ H O S T ” 来 设 置 。 参 数 选 项 参 数 选 项 命 令 行 命 令 行 设 置 D o c k e r 引 擎 A P I 的 “ D O C K E R _ H O S T ” 环 境 变 量 ， 然 后 使 用 下 列 参 数 在 命 令 行 工 具 中 运 行 C n i t c h ： D o c k e r 2 0 2 0 / 0 7 / 2 9   1 6 : 0 4 : 2 7   S t a r t i n g   C n i t c h :   M o n i t o r i n g   D o c k e r   P r o c e s s e s   a t :   t c p : / / 1 7 2 . 1 6 . 2 5 5 . 1 2 8 : 2 3 7 6 2 0 2 0 / 0 7 / 2 9   1 6 : 0 4 : 2 7   C h e c k i n g   f o r   r o o t   p r o c e s s e s   e v e r y :   1 0 s 2 0 2 0 / 0 7 / 2 9   1 6 : 0 5 : 0 8   C h e c k i n g   i m a g e :   u b u n t u ,   i d :   7 b d 4 8 9 5 6 0 a 3 1 0 3 4 3 c 3 9 1 8 6 5 0 0 d a a 6 8 0 2 9 0 2 8 9 c 2 7 f 7 a 7 3 0 5 2 4 a 3 1 3 5 5 a 3 a a f 0 4 3 0 2 0 2 0 / 0 7 / 2 9   1 6 : 0 5 : 0 8   > >   W A R N I N G :   f o u n d   p r o c e s s   r u n n i n g   a s   r o o t :   t a i l   - f   / d e v / n u l l   p i d :   3 6 5 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / n i c h o l a s j a c k s o n / c n i t c h . g i t - - h o s t n a m e = [ h o s t n a m e ] ： 用 于 整 合 信 息 的 名 称 或 I P 地 址 - - s t a t s d - s e r v e r = [ h o s t n a m e : p o r t ] ： S t a t s D 收 集 器 的 U R I ， 如 果 忽 略 该 参 数 ， 那 么 S t a t s D 报 告 功 能 将 被 禁 用 - - c h e c k = [ d u r a t i o n   e . g .   1 0 s   ( 1 0   s e c o n d s ) ,   1 m   ( 1   m i n u t e ) ] ： C n i t c h 扫 描 r o o t 进 程 的 频 率 $   c n i t c h   - - h o s t n a m e = m y h o s t   - - s t a t s d - s e r v e r = 1 2 7 . 0 . 0 . 1 : 8 1 2 5   - - c h e c k = 1 0 s
C n i t c h 能 够 在 一 个 非 特 权 容 器 中 运 行 ， 如 果 你 想 要 使 用 D o c k e r   s o c k 来 访 问 A P I ， 你 还 需 要 将 C n i t c h 用 户 添 加 至 d o c k e r 组 。 这 一 步 可 以 通 过 “ — g r o u p - a d d ” 参 数 来 实 现 ： 下 面 的 代 码 可 以 使 用 D o c k e r   s o c k 文 件 来 实 现 A P I 访 问 ： 工 具 使 用 样 例 工 具 使 用 样 例 在 下 面 的 例 子 中 ， 显 示 了 C n i t c h 如 何 将 数 据 导 出 至 S t a t s D ， 其 中 的 D o c k e r   C o m p o s e 栈 位 于 该 项 目 的 . / e x a m p l e 目 录 中 运 行 上 述 命 令 之 后 ， 在 浏 览 器 中 访 问 “ h t t p : / / [ d o c k e r   h o s t   i p ] : 3 0 0 0 ” ， 你 将 会 看 到 如 下 图 所 示 的 G r a f a n a 登 录 界 面 ： 使 用 下 列 凭 证 信 息 登 录 G r a f a n a ： 用 户 名 ： a d m i n 密 码 ： a d m i n 接 下 来 ， 选 择 C n i t c h 仪 表 盘 ， 这 个 仪 表 盘 会 显 示 当 前 目 标 容 器 内 正 在 运 行 的 r o o t 进 程 ： - - g r o u p - a d d = $ ( s t a t   - f   " % g "   / v a r / r u n / d o c k e r . s o c k $   d o c k e r   r u n   - i   - t   - - r m       - v   / v a r / r u n / d o c k e r . s o c k : / v a r / r u n / d o c k e r . s o c k       - - g r o u p - a d d = $ ( s t a t   - f   " % g "   / v a r / r u n / d o c k e r . s o c k )       - e   " D O C K E R _ H O S T : u n i x : / / / v a r / r u n / d o c k e r . s o c k "       q u a y . i o / n i c h o l a s j a c k s o n / c n i t c h   [ o p t i o n s ] $   c d   . / e x a m p l e $   d o c k e r - c o m p o s e   u p
项 目 地 址 项 目 地 址 C n i t c h ： h t t p s : / / g i t h u b . c o m / n i c h o l a s j a c k s o n / c n i t c h 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理