Introducción del equipo

El equipo de seguridad Chongqing Jiugongge se dedica a compartir herramientas de seguridad de código abierto. Sus líneas de investigación cubren múltiples áreas como red team/blue team, seguridad web, seguridad móvil, desarrollo seguro, construcción de seguridad empresarial, IoT/seguridad de control industrial/AI/seguridad cuántica, entre otras. Si te interesa la seguridad, puedes seguirnos.

Script de descarga totalmente automático para harbor CVE-2022-46463

En ejercicios reales de ataque y defensa o en ataques a la cadena de suministro, es frecuente encontrarse con sistemas harbor. Debido a razones como la configuración incorrecta de permisos por parte de los desarrolladores o la necesidad de publicar imágenes, en ese momento se necesita un script con funcionalidad totalmente automática:

• Buscar y recorrer proyectos de imágenes
• Descargar imágenes de forma nativa (sin invocar docker, usando directamente requests para la descarga)
• Descomprimir automáticamente los paquetes de imágenes; también puedes añadir búsquedas personalizadas de recursos jar, etc.
• Compatible con harbor v1 y v2

Demostración del script

Primero, confirma el número de versión de la api de harbor. Puede conocerse capturando el paquete de la búsqueda; la versión de la api es v2.0:

La versión v1 es: http://x.x.x.x/api/search?q=1

Modifica los parámetros correspondientes del script y ejecútalo; se mostrará la información relevante y la información de las imágenes, guardándose en un archivo de texto.

Edita el archivo de texto generado. En este momento se requiere intervención manual para eliminar las imágenes que no se necesitan descargar; se puede juzgar de forma integral según el nombre de la imagen, el tamaño de la imagen y el tiempo de la imagen:

Una vez editado el archivo de texto, modifica el script para introducir la ruta del archivo; al ejecutarlo, descargará automáticamente las imágenes y las descomprimirá.

Verás todos los archivos descomprimidos en el directorio target: