Skip to content
KitploitKITPLOIT
उपकरणब्लॉग
जमा करें
उपकरणब्लॉग
जमा करें

हैकिंग, पेनटेस्ट और साइबर सुरक्षा उपकरण आपके सुरक्षा शस्त्रागार के लिए!

Kitploit हैकिंग, साइबर सुरक्षा और पेंटेस्टिंग टूल्स की एक निर्देशिका है। कमजोरियों को खोजने, सिस्टम का विश्लेषण करने, परीक्षण को स्वचालित करने और अपनी सुरक्षा को मजबूत करने के लिए नवीनतम प्रोजेक्ट अपडेट खोजें।

··फ़ीड·संपर्क·गोपनीयता·© 2026 Kitploit

टूल निर्देशिका

श्रेणियाँ

सभी श्रेणियाँ देखें
Loading categories
उपकरण/GitHubGitHub/nedlir/dasel-hardened-container
सामान्य उपयोगिताएँकंटेनर सुरक्षाभेद्यता विश्लेषणकॉन्फ़िगरेशन ऑडिटिंगDevSecOpsसीक्रेट डिटेक्शनआपूर्ति श्रृंखला सुरक्षा
GitHubnedlir/dasel-hardened-container

dasel-hardened-container

Melange और apko के माध्यम से निर्मित हार्डन्ड dasel v3.3.1 पैकेज और इमेज। CVE-2026-33320 को पैच करना।

रिपॉजिटरी देखें
53 महीने पहलेअभी तक समीक्षित नहीं

सबसे लोकप्रिय

सभी देखें →

हमारे समुदाय द्वारा सबसे अधिक उपयोग किए जाने वाले उपकरण खोजें।

सभी उपकरण खोजें

हमारे उपकरणों का संग्रह ब्राउज़ करें

सभी उपकरण देखें →
साझा करें

dasel v3.3.1 हार्डन्ड कंटेनर

यह dasel v3.3.1 के लिए एक melange पैकेज और apko कंटेनर इमेज है, जिसमें CVE-2026-33320 (असीमित YAML alias विस्तार) के लिए बिल्ड-समय पैच शामिल है। यह इमेज पूरी तरह से स्थानीय रूप से उत्पादित APK से बनाई गई है - कोई पूर्व-निर्मित upstream इमेज उपयोग नहीं की गई है।

पूर्वापेक्षाएँ

उपकरणपरीक्षित संस्करणउद्देश्य
Docker29.3.1कंटेनर रनटाइम, compose.yaml के माध्यम से melange/apko चलाता है
melange0.50.5 (Docker image cgr.dev/chainguard/melange@sha256:b6f11bb45a6090c182986028fd2249fb1a18dcb6e173c4ce001dd3fb4cb1dd71)APK पैकेज बिल्डर
apko1.2.10 (Docker image cgr.dev/chainguard/apko@sha256:20dfc1f5e3461b5eaf3279f762cd4bf86c7f3635d2a9642f905cf583525f9ee6)OCI इमेज बिल्डर
  • आर्किटेक्चर: केवल x86_64
  • प्रारंभिक बिल्ड के लिए इंटरनेट एक्सेस आवश्यक है (source tarball, Go मॉड्यूल, Wolfi पैकेज प्राप्त करता है)

Windows आवश्यकताएँ

सभी बिल्ड और लोड कमांड किसी भी टर्मिनल (PowerShell, CMD, या bash) से काम करते हैं। एक चरण अभी भी यूनिक्स शेल की आवश्यकता रखता है:

  • bash tests/test.sh — परीक्षण स्क्रिप्ट bash और coreutils (timeout, grep, sed) का उपयोग करती है

इमेज परीक्षण चलाने से पहले Git Bash स्थापित करें (यह Git for Windows के साथ आता है)।

प्रोजेक्ट संरचना

root@kitploit:~
.
├── .github/
├── melange/
│   ├── dasel.yaml
│   └── CVE-2026-33320.patch
├── apko/
│   └── dasel.yaml
├── tests/
│   └── test.sh
├── Makefile
├── compose.yaml
├── keys/                       # Generated, gitignored
│   ├── melange.rsa
│   └── melange.rsa.pub
├── sbom/                       # Generated, gitignored
│   ├── sbom-x86_64.spdx.json
│   └── sbom-index.spdx.json
├── packages/                   # Generated, gitignored
│   └── x86_64/
│       ├── dasel-3.3.1-r0.apk
│       └── APKINDEX.tar.gz
└── README.md

बिल्ड

Make का उपयोग करना

root@kitploit:~
make build        # keygen (if needed) + package + image
make test         # package tests + image tests
make all          # build + test
make clean        # remove all generated artifacts
make help         # list all targets and variables

मैनुअल कमांड

root@kitploit:~
# 1. Generate signing keys (one-time)
docker compose run --rm melange keygen keys/melange.rsa

# 2. Build the APK package (fetches source, applies CVE patch, compiles)
docker compose run --rm melange build melange/dasel.yaml --arch x86_64 --signing-key keys/melange.rsa

# 3. Build the OCI image (consumes the local APK)
docker compose run --rm apko build apko/dasel.yaml dasel:3.3.1 dasel.tar --arch x86_64 --sbom-path sbom/

चरण 2 स्वचालित रूप से packages/x86_64/APKINDEX.tar.gz उत्पन्न और हस्ताक्षरित करता है।

चलाना

इमेज लोड करने के बाद, dasel चलाएँ:

root@kitploit:~
docker load --input dasel.tar

# Example: query a JSON file
echo '{"name": "dasel"}' | docker run --rm \
  --read-only \
  --cap-drop=ALL \
  --security-opt=no-new-privileges \
  -i dasel:3.3.1-amd64 \
  -i json 'name'

ये फ्लैग इमेज हार्डनिंग में वर्णित रक्षा-गहराई (defense-in-depth) रणनीति की रनटाइम परत को लागू करते हैं: एक अपरिवर्तनीय रूट फाइलसिस्टम, शून्य Linux क्षमताएँ, और कोई विशेषाधिकार वृद्धि पथ नहीं।

परीक्षण

Make का उपयोग करना

root@kitploit:~
make test          # all tests (package + image)
make package-test  # melange package tests only
make image-test    # image tests only (requires bash)

मैनुअल कमांड

root@kitploit:~
# Package tests
docker compose run --rm melange test melange/dasel.yaml --arch x86_64

# Image tests (requires Git Bash on Windows)
docker load --input dasel.tar
bash tests/test.sh

परीक्षण स्क्रिप्ट निम्नलिखित की जाँच करती है:

  • इमेज लोड होती है और dasel version v3.3.1 दर्शाता है
  • JSON कुंजी निष्कर्षण (-i json 'test')
  • JSON-to-YAML रूपांतरण (-i json -o yaml --root)
  • CVE पैच: दुर्भावनापूर्ण billion-laughs YAML हैंग होने के बजाय "yaml expansion budget exceeded" ट्रिगर करता है

CVE-2026-33320 समाधान

यह कमजोरी घातांकीय रूप से नेस्टेड YAML alias (billion laughs attack) के माध्यम से असीमित CPU/मेमोरी खपत की अनुमति देती है। melange/CVE-2026-33320.patch पर पैच dasel के YAML रीडर में दो सुरक्षा उपाय जोड़ता है: एक विस्तार गहराई सीमा (32) जो पुनरावर्ती alias नेस्टिंग को सीमित करती है, और एक विस्तार बजट (1000) जो प्रति दस्तावेज़ कुल alias डीरेफरेंस को सीमित करता है। जब भी कोई सीमा प्रभावित होती है, डिकोडिंग तुरंत एक त्रुटि लौटाती है।

सुरक्षा, पुनरुत्पादकता और न्यूनतमता

  • सुरक्षा: CVE-2026-33320 को बिल्ड समय पर पैच किया गया। सभी पैकेज हस्ताक्षरित हैं। इमेज में केवल 3 APK पैकेज हैं (wolfi-baselayout, ca-certificates-bundle, dasel)
  • पुनरुत्पादकता: पैकेज और इमेज दोनों के लिए घोषणात्मक YAML। सोर्स tarball SHA256 द्वारा पिन किया गया है। सभी टूल संस्करण प्रलेखित हैं। Go बाइनरी स्थानीय बिल्ड पथ हटाने के लिए -trimpath के साथ बनाई गई है
  • न्यूनतमता: अंतिम इमेज में कोई शेल, कोई पैकेज मैनेजर नहीं - केवल dasel बाइनरी, CA प्रमाणपत्र और baselayout

इमेज हार्डनिंग

इमेज न्यूनतम पैकेजिंग के अतिरिक्त defense-in-depth लागू करती है:

परतउपायप्रभाव
बिल्डगैर-रूट उपयोगकर्ता (UID 65532)कंटेनर प्रक्रिया कभी रूट के रूप में नहीं चलती
बिल्ड-s -w ldflags + auto -trimpathस्ट्रिप्ड बाइनरी, कोई स्थानीय पथ लीक नहीं
बिल्डकेवल 3 पैकेजन्यूनतम हमला सतह, कोई शेल या पैकेज मैनेजर नहीं
रनटाइम--read-onlyअपरिवर्तनीय रूट फाइलसिस्टम
रनटाइम--cap-drop=ALLशून्य Linux क्षमताएँ
रनटाइम--no-new-privilegessetuid/setgid के माध्यम से विशेषाधिकार वृद्धि रोकता है

भेद्यता स्कैनिंग

निर्मित इमेज (dasel.tar) को CVE पैच के अतिरिक्त सुरक्षा स्थिति को सत्यापित करने के लिए उद्योग-मानक उपकरणों से स्कैन किया गया।

Syft (SBOM निर्माण)

Syft ने Go बाइनरी के मॉड्यूल मेटाडेटा का निरीक्षण करके इमेज से 36 पैकेज निकाले:

  • 3 APK पैकेज: wolfi-baselayout 20230201-r29, ca-certificates-bundle 20260413-r0, dasel 3.3.1-r0
  • 32 Go मॉड्यूल: जिनमें go.yaml.in/yaml/v4, github.com/hashicorp/hcl/v2, github.com/pelletier/go-toml/v2, github.com/goccy/go-json, github.com/charmbracelet/bubbletea, golang.org/x/sys, golang.org/x/text, stdlib go1.25.9, और 25 अन्य शामिल हैं
  • 19 फाइलें सूचीबद्ध: /usr/bin/dasel, /etc/ssl/certs/ca-certificates.crt, APK DB, प्रति-पैकेज SBOM, और baselayout कॉन्फ़िग फ़ाइलें

Grype (भेद्यता स्कैनर)

जो SBOM मैंने उत्पन्न किया था, उसे Grype के साथ निरीक्षित किया गया, और 32 Go मॉड्यूल या 3 APK पैकेज में से किसी में कोई अन्य भेद्यता नहीं पाई गई।

सबमिशन

मान्यताएँ

  • केवल x86_64 - एकल-आर्क बिल्ड। मल्टी-आर्क के लिए अतिरिक्त --arch फ्लैग की आवश्यकता होगी
  • डिस्पोजेबल साइनिंग कुंजियाँ - स्थानीय रूप से उत्पन्न और gitignored। उत्पादन सेटअप में, निजी साइनिंग कुंजियों को स्थानीय फाइलसिस्टम पर नहीं, बल्कि एक सीक्रेट्स मैनेजर में संग्रहीत किया जाना चाहिए। भले ही gitignored फाइलें बैकअप टूल्स, कंटेनर वॉल्यूम माउंट, या एक समझौता किए गए वर्कस्टेशन के माध्यम से उजागर हो सकती हैं।
  • Wolfi OS निर्भरता - बिल्ड और अंतिम इमेज Wolfi पैकेज (busybox, go, ca-certificates-bundle) पर निर्भर हैं। यदि उन upstream पैकेजों में से किसी में भेद्यता खोजी जाती है, तो यह इस इमेज को भी प्रभावित करेगा। उत्पादन में Wolfi पैकेज को अद्यतित रखना या उनके सुरक्षा परामर्शों की सदस्यता लेना आवश्यक होगा
  • Docker Compose रैपर - melange और apko compose.yaml के माध्यम से Docker कंटेनर के रूप में चलते हैं। इसका विकास Kali 2025.3 पर किया गया था और Windows 10 पर Docker Desktop 29.3.1 के साथ सत्यापित किया गया था
  • परीक्षण स्क्रिप्ट के लिए bash आवश्यक है - tests/test.sh timeout (coreutils) और Docker CLI का उपयोग करता है। अन्य सभी कमांड शुद्ध docker हैं और PowerShell या CMD से काम करते हैं। Windows पर, परीक्षण स्क्रिप्ट को Git Bash से चलाएँ (देखें Windows आवश्यकताएँ)

SBOM कवरेज अंतर

apko बिल्ड समय पर sbom/ फ़ोल्डर में SPDX SBOM स्वचालित रूप से उत्पन्न करता है (sbom/sbom-x86_64.spdx.json, sbom/sbom-index.spdx.json)। ये स्थापित 3 APK पैकेजों को संस्करण, CPE, स्रोत उत्पत्ति, और Melange बिल्ड परिभाषा संदर्भों के साथ ट्रैक करते हैं। हालाँकि, वे dasel बाइनरी में संकलित Go मॉड्यूल निर्भरताओं को शामिल नहीं करते हैं। मैंने उन्हें स्कैन करने का निर्णय लिया और बाइनरी के एम्बेडेड मेटाडेटा से सभी 32 Go मॉड्यूल निकालकर इस अंतर को बंद करने के लिए Syft का उपयोग किया।

उत्पादन परिवेश के लिए SBOM निष्कर्षण का कुछ स्वचालन होना चाहिए जो समय-समय पर पोल करे। फिर शायद SBOM परिणामों को https://github.com/nedlir/CVEnotifier जैसी चीज़ से संलग्न करें, जिसे मैंने आपूर्ति श्रृंखला में नई भेद्यताओं को खोजने के लिए Golang में लिखा था।

चलाए गए कमांड और परिणाम

कमांडपरिणाम
docker compose run --rm melange keygen keys/melange.rsaपास
docker compose run --rm melange build melange/dasel.yaml --arch x86_64 --signing-key keys/melange.rsaपास - पैच लागू (7/7 hunks), APK उत्पन्न
docker compose run --rm melange test melange/dasel.yaml --arch x86_64पास - संस्करण, JSON कुंजी निष्कर्षण, JSON ऐरे एक्सेस
docker compose run --rm apko build apko/dasel.yaml dasel:3.3.1 dasel.tar --arch x86_64 --sbom-path sbom/पास - 3 पैकेज स्थापित, OCI tarball उत्पन्न
docker load --input dasel.tarपास - dasel:3.3.1-amd64 लोड हुआ
bash tests/test.shपास - सभी परीक्षण (संस्करण, कुंजी निष्कर्षण, प्रारूप रूपांतरण, YAML aliases, CVE पैच)
docker run --rm -v ... anchore/grype:latest /work/dasel.tarपास - 1 निष्कर्ष (पैच किए गए CVE के लिए अपेक्षित गलत सकारात्मक)
docker run --rm -v ... anchore/syft:latest /work/dasel.tarपास - 36 पैकेज सूचीबद्ध (3 APK + 32 Go + 1 stdlib)

भविष्य में सुधार

  • मल्टी-आर्क बिल्ड - इस कंटेनर के निर्माण के लिए कई आर्किटेक्चर का समर्थन।

  • CI/CD पाइपलाइन - melange/apko कंटेनर एक्शन के साथ GitHub Actions में बिल्ड + परीक्षण स्वचालित करें

  • melange में Go-स्तरीय SBOM - melange बिल्ड पाइपलाइन के दौरान syft चलाएँ और Go-मॉड्यूल SBOM को APK के साथ एम्बेड करें

टूल डाउनलोड करें