Gorsair

Gorsair ist ein Penetrationstest-Tool zum Erkennen und Fernzugriff auf Docker-APIs von anfälligen Docker-Containern. Sobald es Zugriff auf den Docker-Daemon hat, können Sie Gorsair verwenden, um direkt Befehle auf entfernten Containern auszuführen.

Die Bereitstellung der Docker-API im Internet ist ein enormes Risiko, da böswillige Akteure Informationen über alle anderen Container, Images und das System erhalten können und möglicherweise privilegierten Zugriff auf das gesamte System erlangen, wenn das Image den root-Benutzer verwendet.

Installation

Aus einer Veröffentlichung

Setzen Sie die:

• GORSAIR_VERSION auf die gewünschte Version
• OS auf Ihr Betriebssystem (linux, windows oder darwin)
• ARCH auf Ihre Architektur (amd64, arm oder ppc64le)

Führen Sie dann den folgenden Befehl aus, um gorsair zu installieren.

curl -sS https://github.com/Ullaakut/Gorsair/releases/download/$GORSAIR_VERSION/gorsair_$OS_$ARCH --output /usr/local/bin/gorsair && chmod +x /usr/local/bin/gorsair

Aus den Quellen

• Stellen Sie sicher, dass Sie eine Go-Version haben, die Module unterstützt (Version 1.11 und höher)
• Stellen Sie sicher, dass Ihre Umgebung die Variable GO111MODULE auf on gesetzt hat
• Führen Sie go build -o /usr/local/bin/gorsair cmd/*.go aus dem Stammverzeichnis dieses Repositorys aus

Befehlszeilenoptionen

• -t, --targets: Setzen Sie Ziele gemäß dem nmap-Zielformat. Erforderlich. Beispiel: --targets="192.168.1.72,192.168.1.74"
• -p, --ports: (Standard: 2375,2376) Legen Sie benutzerdefinierte Ports fest.
• -s, --speed: (Standard: 4) Legen Sie benutzerdefinierte nmap-Erkennungsvoreinstellungen fest, um Geschwindigkeit oder Genauigkeit zu verbessern. Es wird empfohlen, den Wert zu senken, wenn Sie ein instabiles und langsames Netzwerk scannen, oder zu erhöhen, wenn Sie sich in einem sehr leistungsfähigen und zuverlässigen Netzwerk befinden. Möglicherweise möchten Sie ihn auch niedrig halten, um Ihre Erkennung verdeckt zu halten. Siehe hier für weitere Informationen zu den nmap-Timing-Vorlagen.
• -v, --verbose: Aktivieren Sie ausführlichere Protokolle.

Wie kann ich meine Container vor diesem Angriff schützen

• Vermeiden Sie es, Container mit Zugriff auf den Docker-Socket ins Internet zu stellen
• Vermeiden Sie die Verwendung des root-Kontos in Docker-Containern