Verwenden eines veröffentlichten Docker-Exploits, um Root-Zugriff zu erlangen und ein Bitcoin-Mining-Skript auszuführen

Dies verwendet zwei Open-Source-Bibliotheken:

• nightminer von @ricmoo für Python-Bitcoin-Mining
• RunC-CVE-2019-5736 von @twistlock für den Docker-Ausbruch

Systemvoraussetzungen

Getestet wurde dies auf Kali Linux mit Docker Version 18.03.0 und RunC Version 1.0.0-rc5.

Ausführung

1. Klonen Sie das Repository und wechseln Sie mit cd hinein.
2. Führen Sie ./setup aus.
3. Ändern Sie die Einstellungen in config.txt auf Ihren Benutzernamen, Ihr Passwort und Ihre Adresse für den Mining-Server.
4. Erstellen Sie den Docker-Container mit: docker build -t hack .
5. Führen Sie den schädlichen Docker-Container mit: docker run --rm hack
6. Überprüfen Sie, ob der Daemon läuft, mit: ps -aef | grep python.

Was ist das Ergebnis

Der Docker-Container-Ausbruch startet mehrere Mining-Daemons, die zu Prozess #1 (dem Kernel) gehören. Das bedeutet, dass die Ressourcen des Rechners für Mining genutzt werden, ohne dass das Skript/die Rechenressourcen Ihrem Container zugeordnet sind.

Wie das funktioniert

Dies nutzt CVE-2019-5736 aus. Wenn der Container ausgeführt wird, verwendet Docker docker-runc, um ihn zu starten, und wir greifen auf die PID von runc zu, die unseren Container ausführt. Dann übergeben wir die Ausführung an ein anderes Programm (overwrite_runc) mit dem Symlink zur runc-Binärdatei. Dieser Symlink führt uns direkt zum Dateideskriptor der runc-Binärdatei. Dadurch können wir den runc-Dateideskriptor zum Schreiben öffnen und überschreiben. Durch das Überschreiben mit einem bösartigen Skript wird beim Herunterfahren des Containers das Skript mit Root-Rechten ausgeführt, sodass wir einen Cryptominer starten können.

Warnung

Dies überschreibt die runc-Binärdatei auf dem Testsystem, daher ist es klug, die echte zu kopieren, bevor Sie dies ausführen.

Verwenden Sie dies nicht auf echten, verwundbaren Systemen.