Presentazione del team

Chongqing Jiugongge Security Team si dedica alla condivisione di strumenti di sicurezza open-source, coprendo molteplici aree di ricerca come Red & Blue Team, Sicurezza Web, Sicurezza Mobile, Sviluppo Sicuro, Sicurezza Aziendale, IoT/Sicurezza Industriale/AI/Sicurezza Quantistica. Gli appassionati di sicurezza possono seguirci.

Script di download automatico per harbor CVE-2022-46463

Durante esercitazioni offensive/difensive o attacchi alla supply chain, ci si imbatte spesso nel sistema Harbor. A causa di configurazioni errate dei permessi degli sviluppatori o della necessità di rendere pubbliche le immagini, in questi casi è utile uno script con funzionalità completamente automatiche:

• Ricerca e attraversamento dei progetti di immagini
• Download nativo delle immagini (senza chiamare docker, utilizzando direttamente requests)
• Decompressione automatica dei pacchetti di immagini; puoi anche aggiungere la ricerca personalizzata di risorse jar, ecc.
• Supporto per le versioni harbor v1 e v2

Dimostrazione dello script

Innanzitutto, conferma il numero di versione dell'API di harbor; puoi ottenerlo catturando i pacchetti di ricerca. La versione API è v2.0:

La versione v1 è: http://x.x.x.x/api/search?q=1

Modifica i parametri rilevanti dello script, esegui lo script e verranno visualizzate informazioni e salvati i dettagli delle immagini in un file di testo

Modifica il file di testo generato; a questo punto è necessario eliminare manualmente le immagini che non vuoi scaricare. Puoi valutare in base al nome, alla dimensione e al timestamp dell'immagine:

Dopo aver modificato il file di testo, aggiorna lo script con il percorso del file ed eseguilo; lo script scaricherà e decomprimerà automaticamente le immagini

Nella directory target vedrai tutti i file decompressi: