Gorsair

Gorsair è uno strumento di penetration testing per scoprire e accedere da remoto alle API Docker da container Docker vulnerabili. Una volta ottenuto l'accesso al demone Docker, puoi usare Gorsair per eseguire direttamente comandi su container remoti.

Esporre l'API Docker su internet è un rischio enorme, poiché può permettere ad agenti malevoli di ottenere informazioni su tutti gli altri container, immagini e sistema, oltre a potenzialmente ottenere accesso privilegiato all'intero sistema se l'immagine usa l'utente root.

Installazione

Da una release

Imposta:

• GORSAIR_VERSION alla release che ti interessa
• OS al tuo sistema operativo (linux, windows o darwin)
• ARCH alla tua architettura (amd64, arm o ppc64le)

E poi esegui il seguente comando per installare gorsair.

curl -sS https://github.com/Ullaakut/Gorsair/releases/download/$GORSAIR_VERSION/gorsair_$OS_$ARCH --output /usr/local/bin/gorsair && chmod +x /usr/local/bin/gorsair

Dai sorgenti

• Assicurati di avere una versione di Go che supporta i moduli (versioni 1.11 e successive)
• Assicurati che il tuo ambiente contenga la variabile GO111MODULE impostata a on
• Esegui go build -o /usr/local/bin/gorsair cmd/*.go dalla radice di questo repository

Opzioni da riga di comando

• -t, --targets: Imposta i target secondo il formato di destinazione di nmap. Obbligatorio. Esempio: --targets="192.168.1.72,192.168.1.74"
• -p, --ports: (Default: 2375,2376) Imposta porte personalizzate.
• -s, --speed: (Default: 4) Imposta preimpostazioni di discovery nmap personalizzate per migliorare velocità o precisione. Si consiglia di abbassarlo se si tenta di scansionare una rete instabile e lenta, o di alzarlo se su una rete molto performante e affidabile. Potresti anche volerlo mantenere basso per mantenere il discovery furtivo. Vedi qui per maggiori informazioni sui template di temporizzazione di nmap.
• -v, --verbose: Abilita log più dettagliati.

Come posso proteggere i miei container da questo attacco

• Evita di posizionare container che hanno accesso al socket Docker su internet
• Evita di usare l'account root nei container Docker