Gorsair

Gorsair は、脆弱なDockerコンテナからDocker APIを発見しリモートアクセスするためのペネトレーションテストツールです。Dockerデーモンへのアクセスを取得すると、Gorsairを使用してリモートコンテナ上で直接コマンドを実行できます。

Docker APIをインターネットに公開することは非常に危険です。悪意のあるエージェントが他のすべてのコンテナ、イメージ、システムに関する情報を取得できるだけでなく、イメージがrootユーザーを使用している場合にはシステム全体への特権アクセスを得る可能性もあります。

Install

リリースから

以下の設定を行います：

• GORSAIR_VERSION をインストールするリリースに設定
• OS をあなたのオペレーティングシステム（linux、windows、またはdarwin）に設定
• ARCH をあなたのアーキテクチャ（amd64、arm、またはppc64le）に設定

その後、以下のコマンドを実行してgorsairをインストールします。

curl -sS https://github.com/Ullaakut/Gorsair/releases/download/$GORSAIR_VERSION/gorsair_$OS_$ARCH --output /usr/local/bin/gorsair && chmod +x /usr/local/bin/gorsair

ソースから

• GoモジュールをサポートするGoバージョン（バージョン1.11以上）を使用していることを確認してください
• 環境変数GO111MODULEがonに設定されていることを確認してください
• このリポジトリのルートからgo build -o /usr/local/bin/gorsair cmd/*.goを実行してください

コマンドラインオプション

• -t, --targets: nmapのターゲット形式に従ってターゲットを設定します。必須。例: --targets="192.168.1.72,192.168.1.74"
• -p, --ports: (デフォルト: 2375,2376) カスタムポートを設定します。
• -s, --speed: (デフォルト: 4) 速度や精度を向上させるためにカスタムのnmap発見プリセットを設定します。不安定で遅いネットワークをスキャンする場合は低く設定し、非常に高性能で信頼性の高いネットワークの場合は高く設定することをお勧めします。発見をステルスに保つために低く設定することもできます。詳細はnmapのタイミングテンプレートを参照してください。
• -v, --verbose: より詳細なログを有効にします。
• -D, --decoys: 使用するデコイIPアドレスのリスト（を参照）

この攻撃からコンテナを保護する方法

• Dockerソケットにアクセスできるコンテナをインターネット上に配置しない
• Dockerコンテナでrootアカウントを使用しない