搜索

[18965] 2021-02-24_内网渗透｜docker逃逸至域控

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-02-24_内网渗透｜docker逃逸至域控 内 网 渗 透 ｜ d o c k e r 逃 逸 至 域 控 原 创   R H a c k e r   I D L a b   2 0 2 1 - 0 2 - 2 4 人 的 一 生 除 去 睡 眠 只 有 一 万 多 天 ～   人 与 人 的 不 同 在 于 ： 你 是 真 的 活 了 一 万 多 天 ， 还 是 仅 仅 生 活 了 一 天 ， 却 重 复 了 一 万 多 次 ！   0 1 前 言 前 言               清 晰 的 记 得 1 9 年 1 0 月 左 右 ， 有 个 职 业 技 能 赛 打 进 了 线 下 ， 线 下 决 赛 模 式 就 是 综 合 靶 场 渗 透 。 当 时 还 信 心 满 满 ， 可 惜 考 点 竟 然 有 个 d o c k e r 逃 逸 ， 当 时 没 有 了 解 过 d o c k e 逃 逸 ， 最 终 没 有 取 得 一 个 好 的 成 绩 。                 终 于 ， ， ， 最 近 几 天 无 意 中 找 到 了 那 套 靶 机 环 境 ， 特 意 重 新 做 了 下 ， 发 现 期 间 也 是 有 一 些 坑 ， 所 以 特 意 写 下 此 篇 文 章 分 享 给 大 家 ～ 0 2 环 境 搭 建 环 境 搭 建 靶 机 地 址 ： h t t p : / / v u l n s t a c k . q i y u a n x u e t a n g . n e t / v u l n / d e t a i l / 6 / 名 称 名 称 服 务 器 服 务 器 系 统 系 统 网 卡 网 卡
V M 1 W e b 服 务 器   u b u n t u   x 6 4 N A T ： 1 9 2 . 1 6 8 . 2 1 3 . 1 3 6 主 机 ： 1 9 2 . 1 6 8 . 1 3 8 . 1 3 5 V M 2   域 成 员 w i n d o w s   7 主 机 ： 1 9 2 . 1 6 8 . 1 3 8 . 1 3 6 V M 3 域 控 服 务 器   w i n d o w s   s e r v e r   2 0 0 8   R 2   x 6 4   主 机 ： 1 9 2 . 1 6 8 . 1 3 8 . 1 3 7 0 3 外 网 打 点 外 网 打 点 扫 描 端 口 也 不 难 发 现 ， 一 共 有 三 处 w e b 服 务 ， 分 别 对 应 8 0 0 1 - 3 ， 因 主 要 讲 的 是 d o c k e r 逃 逸 ， 所 以 外 网 打 点 不 详 细 介 绍 ， 这 里 以 s t 2 - 0 4 5 为 主 。 其 他 两 个 则 分 别 是 p h p m y a d m i n   g e t s h e l l   和 t o m c a t   漏 洞 利 用 。 直 接 利 用 s t 2 类 似 的 工 具 拿 s h e l l 这 里 发 现 通 过 l s   - a l   /   发 现 了 . d o c k e r e n v 文 件 ， 通 过 这 一 信 息 基 本 上 就 可 以 确 定 当 前 环 境 是 在 d o c k e r 环 境 下
通 过 f d i s k   - l 命 令 可 以 发 现 看 到 磁 盘 的 挂 载 情 况 ， 通 过 这 一 特 性 可 以 发 现 此 d o c k e r 环 境 是 开 启 了 特 权 模 式 ， 所 以 可 以 通 过 这 一 模 式 来 获 取 物 理 机 的 s h e l l 。 特 权 模 式 于 版 本 0 . 6 时 被 引 入 D o c k e r ， 允 许 容 器 内 的 r o o t 拥 有 外 部 物 理 机 r o o t 权 限 ， 而 此 前 容 器 内 r o o t 用 户 仅 拥 有 外 部 物 理 机 普 通 用 户 权 限 。 使 用 特 权 模 式 启 动 容 器 ， 可 以 获 取 大 量 设 备 文 件 访 问 权 限 。 因 为 当 管 理 员 执 行 d o c k e r   r u n   — p r i v i l e g e d 时 ， D o c k e r 容 器 将 被 允 许 访 问 主 机 上 的 所 有 设 备 ， 并 可 以 执 行 m o u n t 命 令 进 行 挂 载 。 当 控 制 使 用 特 权 模 式 启 动 的 容 器 时 ， d o c k e r 管 理 员 可 通 过 m o u n t 命 令 将 外 部 宿 主 机 磁 盘 设 备 挂 载 进 容 器 内 部 ， 获 取 对 整 个 宿 主 机 的 文 件 读 写 权 限 ， 此 外 还 可 以 通 过 写 入 计 划 任 务 等 方 式 在 宿 主 机 执 行 命 令 。
这 里 获 取 物 理 机 的 s h e l l 是 通 过 s s h 写 密 钥 的 方 式 。 先 在 k a l i 生 成 密 钥 再 把 公 钥 i d l a b . p u b 直 接 写 进 . s s h / a u t h o r i z e d _ k e y s 里 面
这 里 为 了 后 面 传 文 件 方 便 ， 用 了 s s h 连 接 的 工 具 ， 如 果 用 命 令 的 话 也 可 以 ， s s h   - i   即 可 。 ( p s :   除 此 意 外 使 用 c v e - 2 0 1 9 - 5 7 3 6 也 可 以 实 现 d o c k e r 逃 逸 ， 就 是 稍 微 麻 烦 了 点 ～ e x p 地 址 ： h t t p s : / / g i t h u b . c o m / F r i c h e t t e n / C V E - 2 0 1 9 - 5 7 3 6 - P o C ） 0 4 内 网 渗 透 内 网 渗 透 使 用 m s f 自 带 的 m s 1 7 模 块 可 以 发 现 无 法 获 取 s h e l l ， 会 一 直 提 示 f a i l ， 这 里 我 曾 经 在 真 实 环 境 上 也 遇 见 过 ， 当 时 记 得 是 内 网 有 台 防 火 墙 给 拦 截 了 ～   这 里 很 明 显 是 没 有 防 火 墙 设 备 的 ， 具 体 原 因 没 去 研 究 过 ， 但 是 经 过 好 几 次 的 尝 试 应 该 就 是 代 理 这 一 块 协 议 的 问 题 。 因 为 我 直 接 连 接 这 台 主 机 是 可 以 打 出 来 的 。
但 是 我 们 依 然 可 以 绕 过 去 ， 通 过 永 恒 之 蓝 的 双 倍 脉 冲 模 块 （ E t e r n a l b l u e _ d o u b l e p u l s a r ） 来 获 取 会 话 h t t p s : / / g i t h u b . c o m / E l e v e n P a t h s / E t e r n a l b l u e - D o u b l e p u l s a r - M e t a s p l o i t （ 通 过 这 种 方 式 也 可 以 绕 过 一 些 w a f ）
后 面 则 是 通 过 m i m i k a t z 抓 取 用 户 的 密 码 ， w h o a m i   / a l l 获 取 用 户 的 s i d ， 再 利 用 m s 1 4 - 0 6 8 生 成 票 据 即 可 获 取 域 管 理 员 的 权 限 。 再 上 传 m i m i k a t z 即 可 获 取 域 管 理 员 的 密 码 ， 这 些 操 作 几 乎 和 上 节 内 容 相 似 ， 就 不 演 示 ～   至 此 内 网 渗 透 完 毕 e n d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理