Cloud Container Attack Tool (CCAT ☁️🐈)

Cloud Container Attack Tool (CCAT) は、コンテナ環境のセキュリティをテストするためのツールです。

クイックリファレンス

ヘルプを得る場所: Pacu/CloudGoat/CCAT コミュニティ Slack、または Stack Overflow
問題を報告する場所: https://github.com/RhinoSecurityLabs/ccat/issues
メンテナンス: Rhino Assessment Team

必要条件

Python 3.5+ が必要です。
Docker が必要です。注: CCAT は Docker Engine 19.03.1 でテストされています。
AWS 機能を使用するには名前付きプロファイルが必要です。
GCP 機能を使用するにはサービスアカウントまたはアクセストークンが必要です。

インストール

CCAT の実行には提供されている Docker イメージを使用することをお勧めします。そうすることで、自分のシステムで必要な依存関係に関する問題に直面することはありません。

ソースから CCAT をインストール

  $ git clone https://github.com/RhinoSecurityLabs/ccat.git
  $ cd ccat
  $ python3 setup.py install
  $ python3 ccat.py

CCAT の Docker イメージを使用する

警告: このコマンドを実行すると、起動時にローカルの AWS 設定ファイルが Docker コンテナにマウントされます。つまり、コンテナにアクセスできるユーザーはホストコンピュータの AWS 認証情報にアクセスできるようになります。

警告: このコマンドを実行すると、起動時に Docker デーモンがデフォルトでリッスンしているローカルの Unix ソケットが Docker コンテナにマウントされます。つまり、コンテナにアクセスできるユーザーは Docker デーモンにアクセスできるため、ホストコンピュータに容易にエスケープできる可能性があります。

  $ docker run -it -v ~/.aws:/root/.aws/ -v /var/run/docker.sock:/var/run/docker.sock -v ${PWD}:/app/ rhinosecuritylabs/ccat:latest

はじめに

使用例

以下は、CCAT の使用法を示すシナリオの例です。

侵害された AWS 認証情報から始まり、攻撃者は ECR リポジトリを列挙・探索します。次に、攻撃者は NGINX Docker イメージが使用されていることを発見し、その Docker イメージを ECR からプルします。さらに、攻撃者はターゲットの Docker イメージにリバースシェルのバックドアを作成します。最後に、攻撃者はバックドアを仕込んだ Docker イメージを ECR にプッシュします。

エクスプロイト経路:

VIDEO: CCAT を使用したエクスプロイト経路のビデオウォークスルー:
CCAT を使用したエクスプロイト経路のウォークスルー:

ステップバイステップのシナリオページを見る

ロードマップ

コンテナエスケープ機能
Amazon ECS 攻撃機能
Amazon EKS 攻撃機能
Azure コンテナ関連攻撃機能
GCP コンテナ関連攻撃機能
OpenShift コンテナ関連攻撃機能
IBM Cloud コンテナ関連攻撃機能
Alibaba Cloud コンテナ関連攻撃機能

免責事項

CCAT は、いかなる保証も一切提供しないツールです。CCAT を使用することにより、結果として生じるすべての結果に対して利用者が全責任を負うものとします。

ccat

人気