Gorsair

Gorsair es una herramienta de pruebas de penetración para descubrir y acceder remotamente a APIs de Docker desde contenedores Docker vulnerables. Una vez que tiene acceso al demonio de Docker, puedes usar Gorsair para ejecutar comandos directamente en contenedores remotos.

Exponer la API de Docker en internet es un riesgo tremendo, ya que puede permitir que agentes maliciosos obtengan información sobre todos los demás contenedores, imágenes y el sistema, así como potencialmente obtener acceso privilegiado a todo el sistema si la imagen utiliza el usuario root.

Instalación

Desde un lanzamiento

Establece:

• GORSAIR_VERSION a la versión que te interese
• OS a tu sistema operativo (linux, windows o darwin)
• ARCH a tu arquitectura (amd64, arm o ppc64le)

Y luego ejecuta el siguiente comando para instalar gorsair.

curl -sS https://github.com/Ullaakut/Gorsair/releases/download/$GORSAIR_VERSION/gorsair_$OS_$ARCH --output /usr/local/bin/gorsair && chmod +x /usr/local/bin/gorsair

Desde las fuentes

• Asegúrate de tener una versión de Go que soporte módulos (versiones 1.11 en adelante)
• Asegúrate de que tu entorno contenga la variable GO111MODULE establecida en on
• Ejecuta go build -o /usr/local/bin/gorsair cmd/*.go desde la raíz de este repositorio

Opciones de línea de comandos

• -t, --targets: Establece objetivos según el formato de destino de nmap. Requerido. Ejemplo: --targets="192.168.1.72,192.168.1.74"
• -p, --ports: (Por defecto: 2375,2376) Establece puertos personalizados.
• -s, --speed: (Por defecto: 4) Establece ajustes predefinidos de descubrimiento de nmap para mejorar velocidad o precisión. Se recomienda reducirlo si intentas escanear una red inestable y lenta, o aumentarlo si estás en una red muy rápida y confiable. También puede que quieras mantenerlo bajo para que tu descubrimiento sea sigiloso. Consulta esto para más información sobre las plantillas de temporización de nmap.
• -v, --verbose: Habilita registros más detallados.

¿Cómo puedo proteger mis contenedores de este ataque?

• Evita poner contenedores que tengan acceso al socket de Docker en internet
• Evita usar la cuenta root en contenedores Docker