استخدام استغلال Docker منشور للحصول على وصول الجذر وتشغيل سكريبت تعدين البيتكوين

يستخدم هذا مكتبتين مفتوحتين المصدر:

• nightminer من @ricmoo لتعدين البيتكوين بلغة بايثون
• RunC-CVE-2019-5736 من @twistlock للهروب من Docker

متطلبات النظام

تم اختبار هذا على Kali Linux، مع Docker الإصدار 18.03.0 و RunC الإصدار 1.0.0-rc5.

طريقة التشغيل

1. استنسخ المستودع، ثم انتقل إليه باستخدام cd.
2. شغّل ./setup.
3. غيّر الإعدادات في config.txt لتكون اسم المستخدم وكلمة المرور وعنوان خادم التعدين خاصتك.
4. ابنِ حاوية docker باستخدام: docker build -t hack .
5. شغّل حاوية docker الخبيثة باستخدام: docker run --rm hack
6. تحقق من أن الخادم (daemon) يعمل باستخدام ps -aef | grep python.

ما هي النتيجة

هروب حاوية docker يشغّل عدة خوادم تعدين (daemons) تابعة للعملية #1 (النواة). هذا يعني أن موارد الحاسوب تُستخدم في التعدين دون أن ترتبط موارد السكريبت/الحوسبة بحاويتك.

كيف يعمل هذا

يستغل هذا الثغرة CVE-2019-5736. عند تشغيل الحاوية، يستخدم docker أداة docker-runc لتشغيلها، ونصل إلى pid الخاص بـ runc الذي يشغّل حاويتنا. ثم نمرر التنفيذ إلى برنامج آخر (overwrite_runc) مع الرابط الرمزي لملف runc الثنائي. هذا الرابط الرمزي يوجهنا مباشرة إلى واصف الملف الخاص بملف runc الثنائي. وهذا يسمح لنا بفتح واصف ملف runc للكتابة واستبداله. من خلال استبداله بسكريبت خبيث، عند إيقاف تشغيل الحاوية، ينفذ السكريبت بصلاحيات الجذر، مما يسمح لنا بتشغيل عامل تعدين العملات الرقمية (cryptominer).

تحذير

يؤدي هذا إلى استبدال ملف runc الثنائي على بيئة الاختبار، لذا من الحكمة نسخ الملف الأصلي قبل تشغيل هذا.

لا تستخدم هذا على أنظمة حقيقية قابلة للاستغلال.