Présentation de l'équipe

Équipe de sécurité Chongqing Jiugongge se consacre au partage d'outils de sécurité open source. Ses axes de recherche couvrent la confrontation rouge/bleue, la sécurité Web, la sécurité mobile, le développement sécurisé, la construction de la sécurité d'entreprise, la sécurité IoT/ICS/AI/quantique, etc. Si la sécurité vous intéresse, suivez-nous.

Script de téléchargement entièrement automatisé pour harbor CVE-2022-46463

Lors d'exercices réels de défense/attaque ou d'attaques de la chaîne d'approvisionnement, on rencontre souvent le système Harbor. En raison de mauvaises configurations de permissions par les développeurs ou de la nécessité de rendre des images publiques, un script entièrement automatisé est alors nécessaire :

• Rechercher et parcourir les projets d'images
• Télécharger les images nativement (sans appeler Docker, en utilisant directement requests pour le téléchargement)
• Décompresser automatiquement les archives d'images ; vous pouvez également ajouter une recherche personnalisée de ressources jar, etc.
• Prend en charge les versions Harbor v1 et v2

Démonstration du script

Tout d'abord, confirmez le numéro de version de l'API Harbor, que vous pouvez obtenir en capturant le paquet de recherche. La version de l'API est v2.0 :

La version v1 est : http://x.x.x.x/api/search?q=1

Modifiez les paramètres correspondants du script, exécutez-le. Les informations pertinentes et les informations sur les images seront affichées et enregistrées dans un fichier texte.

Modifiez le fichier texte généré : une intervention manuelle est alors nécessaire pour supprimer les images à ne pas télécharger, en se basant sur le nom, la taille et l'heure de l'image.

Après avoir modifié le fichier texte, renseignez le chemin du fichier dans le script, exécutez-le : il téléchargera et décompressera automatiquement les images.

Vous verrez tous les fichiers décompressés dans le répertoire target :