搜索

[4138] 2017-08-05_恶意软件的完美掩护：Docker容器

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-08-05_恶意软件的完美掩护：Docker容器 恶 意 软 件 的 完 美 掩 护 ： D o c k e r 容 器 原 创   E 安 全 编 辑 部   E 安 全   2 0 1 7 - 0 8 - 0 5 关 注 E 安 全   关 注 网 络 安 全 一 手 资 讯 E 安 全 8 月 5 日 讯   研 究 人 员 发 现 一 种 新 型 攻 击 途 径 ， 可 允 许 攻 击 者 滥 用 D o c k e r   A P I 隐 藏 目 标 系 统 上 的 恶 意 软 件 ， D o c k e r   A P I 可 被 用 于 实 现 远 程 代 码 执 行 与 安 全 机 制 回 避 等 目 的 。 作 为 开 发 人 员 群 体 当 中 人 气 极 高 的 代 码 测 试 方 案 ， D o c k e r 能 够 建 立 起 一 套 完 整 的 I T 堆 栈 （ 包 含 操 作 系 统 、 固 件 以 及 应 用 程 序 ） ， 用 以 在 容 器 这 一 封 闭 环 境 当 中 进 行 代 码 运 行 。 尽 管 其 结 构 本 身 非 常 适 合 实 现 代 码 测 试 ， 但 容 器 技 术 亦 可 能 被 攻 击 者 用 于 在 企 业 环 境 内 进 行 恶 意 软 件 感 染 。 在 本 届 于 拉 斯 维 加 斯 召 开 的 2 0 1 7 美 国 黑 帽 大 会 上 ， A q u   S e c u r i t y 公 司 研 究 人 员 M i c h a e l   C h e r n y 与 S a g i e   D u l c e 指 出 ， A q u a   S e c u r i t y 研 究 人 员 塞 奇 · 杜 尔 塞 曾 提 出 这 种 概 念 验 证 （ P o C ） 攻 击 ， 并 首 次 演 示 了 这 种 技 术 。 研 究 人 员 们 解 释 称 ， 攻 击 者 不 仅 能 够 在 企 业 网 络 之 内 运 行 恶 意 软 件 代 码 ， 同 时 亦 可 在 过 程 当 中 配 合 较 高 执 行 权 限 。 在 攻 击 当 中 ， 恶 意 一 方 往 往 会 诱 导 受 害 者 打 开 受 控 网 页 ， 而 后 使 用 R E S T   A P I 调 用 执 行 D o c k e r   B u i l d 命 令 ， 借 以 建 立 起 能 够 执 行 任 意 代 码 的 容 器 环 境 。 通 过 一 种 名 为 “ 主 机 重 绑 定 ” 的 技 术 ， 攻 击 者 能 够 绕 过 同 源 政 策 保 护 机 制 并 获 得 底 层 M o b y   L i n u x 虚 拟 机 当 中 的 r o o t 访 问 能 力 。 如 此 一 来 ， 攻 击 者 将 能 够 窃 取 开 发 者 登 录 凭 证 、 在 开 发 者 设 备 上 运 行 恶 意 软 件 或 者 将 恶 意 软 件 注 入 至 容 器 镜 像 之 内 ， 进 而 在 该 容 器 的 每 一 次
启 动 当 中 实 现 感 染 传 播 。 杜 尔 塞 表 示 ， 攻 击 最 终 能 在 企 业 网 络 中 驻 留 持 久 代 码 ， 由 于 这 部 分 代 码 运 行 在 M o b y   L i n u x 虚 拟 机 当 中 ， 因 此 现 有 主 机 上 的 安 全 产 品 无 法 检 测 主 机 上 的 持 久 性 。 攻 击 的 多 个 阶 段 这 种 攻 击 分 多 个 阶 段 进 行 。 首 先 ， 将 运 行 D o c k e r   f o r   W i n d o w s 的 开 发 人 员 引 诱 到 攻 击 者 控 制 的 网 页 （ 托 管 着 特 制 J a v a S c r i p t ） 。 J a v a S c r i p t 能 绕 过 浏 览 器 “ 同 源 策 略 ” （ S a m e   O r i g i n   P o l i c y ， S O P ） 安 全 协 议 — — 现 代 浏 览 器 上 的 数 据 保 护 功 能 。 所 谓 同 源 ， 是 指 ， 域 名 ， 协 议 ， 端 口 相 同 。 杜 尔 塞 指 出 ， H T T P 请 求 方 法 有 限 ， 包 括 G E T 、 H E A D 和 P O S T 。 杜 尔 塞 不 仅 使 用 未 违 反 S O P 保 护 的 A P I 命 令 ， 而 且 还 在 主 机 （ 将 G i t 仓 库 作 为 C & C 服 务 器 ） 上 创 建 一 个 D o c k e r 容 器 ， 由 此 托 管 恶 意 攻 击 代 码 。 D N S 重 绑 定 攻 击 重 绑 定 攻 击 V S 主 机 重 绑 定 攻 击 主 机 重 绑 定 攻 击 杜 尔 塞 表 示 ， D o c k e r 容 器 受 限 。 如 果 想 要 访 问 整 个 D o c k e r   A P I ， 以 便 能 运 行 任 何 容 器 ， 例 如 对 主 机 和 底 层 虚 拟 机 具 有 更 多 访 问 权 的 特 权 容 器 。 为 了 实 现 该 效 果 ， A q u a 研 究 人 员 创 建 了 与 “ D N S 重 绑 定 攻 击 ” （ D N S   R e b i n d i n g   A t t a c k . ） 类 似 的 “ 主 机 重 绑 定 攻 击 ” （ H o s t   R e b i n d i n g A t t a c k ） 技 术 。 D N S 重 绑 定 攻 击 指 的 是 ， 对 手 滥 用 D N S 诱 骗 浏 览 器 不 执 行 S O P 。 A q u a 的 主 机 重 绑 定 攻 击 针 对 M i c r o s o f t 名 称 解 析 协 议 实 现 同 样 的 目 标 ， 不 过 主 机 重 绑 定 攻 击 通 过 虚 拟 接 口 实 现 ， 因 此 攻 击 本 身 不 会 在 网 络 中 被 检 测 到 。 研 究 人 员 写 到 ， 主 机 重 绑 定 攻 击 会 将 本 地 网 络 上 的 主 机 I P 地 址 重 绑 定 到 另 一 个 I P 地 址 ， 即 与 D N S 重 绑 定 类 似 。 D N S 重 绑 定 是 欺 骗 D N S 响 应 、 控 制 域 名 或 干 扰 D N S 服 务 ， 但 主 机 重 绑 定 攻 击 则 是 欺 骗 对 名 称 解 析 协 议 （ 广 播 的 ） 的 响 应 ， 例 如 N e t B I O S 和 L L M N R 。 其 结 果 是 创 建 容 器 ， 使 其 在 受 害 者 H y p e r - V 虚 拟 机 中 运 行 ， 共 享 主 机 网 络 ， 并 执 行 攻 击 者 控 制 的 任 意 代 码 。 研 究 人 员 解 释 称 ， 具 备 能 力 针 对 D o c k e r   D a e m o n   R E S T   A P I 执 行 任 何 命 令 之 后 ， 他 们 能 有 效 获 取 底 层 M o b y   L i n u x 虚 拟 机 的 R o o t 访 问 权 限 。 下 一 步 是 利 用 R o o t 权 限 执 行 恶 意 代 码 ， 同 时 在 主 机 上 保 持 持 久 性 ， 并 在 虚 拟 机 内 隐 匿 活 动 。 生 成 生 成 “ 影 子 容 器 影 子 容 器 ” 接 下 来 ， 需 生 成 杜 尔 塞 所 谓 的 “ 影 子 容 器 ” （ S h a d o w   C o n t a i n e r ） 。 当 虚 拟 机 重 启 时 ， “ 影 子 容 器 ” 允 许 恶 意 容 器 下 达 保 持 持 久 性 的 指 令 。 如 果 受 害 者 重 启 主 机 或 只 是 重 启 D o c k e r   f o r   W i n d o w s ， 攻 击 者 将 失 去 控 制 。 为 了 解 决 这 些 问 题 ， 他 们 提 出 采 用 “ 影 子 容 器 ” 技 术 获 取 持 久 性 和 隐 匿 性 。 为 此 ， 杜 尔 塞 编 写 了 容 器 关 闭 脚 本 ， 以 此 保 存 他 的 脚 本 / 状 态 。 当 D o c k e r 重 启 时 ， 或 D o c k e r 重 置 或 主 机 重 启 后 ， “ 影 子 容 器 ” 将 运 行 攻 击 者 的 容 器 ， 保 存 攻 击 脚 本 。 这 样 一 来 ， 攻 击 者 便 能 在 渗 透 网 络 的 同 时 保 持 隐 匿 性 ， 以 此 执 行 侦 察 活 动 、 植 入 恶 意 软 件 或 在 内 部 网 络 中 横 向 活 动 。 这 种 攻 击 能 实 现 攻 击 者 什 么 目 的 ？ 这 种 攻 击 能 实 现 攻 击 者 什 么 目 的 ？ 杜 尔 塞 表 示 ， 通 过 这 种 攻 击 可 以 访 问 内 部 网 络 、 扫 描 网 络 、 发 现 开 放 端 口 、 横 向 活 动 ， 并 感 染 其 它 设 备 ， 但 还 得 找 到 方 法 感 染 本 地 容 器 镜 像 ， 从 而 散 布 到 整 个 企 业 D o c k e r 渠 道 中 。 杜 尔 塞 和 A q u a   S e c u r i t y 研 究 负 责 人 迈 克 尔 · 乔 尔 内 表 示 ， 他 们 今 年 年 初 通 知 了 D o c k e r 这 种 攻 击 途 径 。 D o c k e r 承 认 存 在 这 个 问 题 ， 并 表 示 这 是 由 于 先 前 所 有 D o c k e r   f o r   W i n d o w s 版 本 允 许 通 过 T C P / H T T P 远 程 访 问 D o c k e r 。 自 此 之 后 ， D o c k e r 改 变
了 默 认 配 置 ， 关 闭 了 H T T P 端 口 ， 以 此 防 止 访 问 D o c k e r   D a e m o n 。 缓 解 措 施 专 家 给 出 的 缓 解 措 施 包 括 ， 更 新 D o c k e r   f o r   W i n d o w s ， 仅 允 许 证 客 户 端 访 问 暴 露 的 端 口 ， 通 过 防 火 墙 阻 止 M o b y   L i n u x 虚 拟 机 接 口 上 的 2 3 7 5 端 口 ， 以 及 在 所 有 端 点 上 禁 用 L L M N R 和 N e t B I O S 。 0 5 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 8 月 月   0 1 可 隐 藏 在 P H P 模 块 中 的 R o o t k i t ， 只 有 8 0 行 代 码 【 附 P o C 】 0 2 F B I 与 D H S 发 布 报 告 ： 需 警 惕 朝 鲜 黑 客 组 织 “ 隐 藏 眼 镜 蛇 ” 0 3 云 安 全 危 机 ： 谷 歌 和 亚 马 逊 的 云 服 务 平 台 发 现 隐 藏 恶 意 软 件 0 4 黑 客 利 用 受 感 染 P C 上 的 虚 拟 机 隐 藏 自 身 行 迹 0 5 一 类 新 型 算 法 将 信 息 巧 妙 隐 藏 在 音 乐 当 中 0 6 警 惕 Q Q 群 里 “ 王 者 荣 耀 ” 外 挂   可 能 是 新 型 勒 索 病 毒 伪 装 ！ 0 7 宝 马 、 福 特 、 英 菲 尼 迪 和 尼 桑 车 主 要 小 心 T C U 漏 洞 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理