boatcrash

CVE-2019-19030에 대한 익스플로잇으로, Harbor 버전 <1.10.3 및 <2.0.1에 영향을 미칩니다. 또한 상위 버전에서 공개 프로젝트를 열거하고 가져오는 데 사용할 수 있습니다.

요구 사항

이 스크립트는 다음 종속성이 필요합니다:

• jq
• docker
• curl

일반 종속성의 경우 원하는 패키지 관리자를 사용할 수 있습니다:

sudo apt install jq curl

Docker의 경우, Docker의 지침을 참조하여 Docker Engine 설치 방법을 선택한 Unix 기반 OS에서 확인하세요.

사용법

$ ./boatcrash.sh <harbor_domain_name>

이 스크립트를 1.10.3 또는 2.0.1 미만 버전을 실행하는 Harbor 인스턴스에서 사용하여 플랫폼에 있는 모든 프로젝트를 열거하십시오. 또한 상위 버전에서 프로젝트를 열거하는 데 사용할 수 있지만 공개 프로젝트만 열거할 수 있습니다.

이 스크립트에 의해 발견된 모든 프로젝트는 Docker를 통해 자신의 머신으로 가져와지며, 로컬에서 실행하고 환경 변수와 비밀을 자세히 살펴볼 수 있습니다.

면책 조항

이 개념 증명 익스플로잇은 교육 목적으로만 사용되며, 윤리적 해커, 보안 연구원 및 조직이 시스템의 잠재적 취약성을 이해하는 데 도움을 주기 위해 제공됩니다. 이 익스플로잇을 사용하는 사용자는 모든 관련 지역, 주, 국가 및 국제법을 완전히 준수해야 합니다. 이 익스플로잇을 사용하여 시스템을 테스트하기 전에 시스템 소유자로부터 명시적인 허가를 받아야 합니다. 이 익스플로잇은 다음을 포함하되 이에 국한되지 않는 악의적인 활동에 사용하기 위한 것이 아닙니다:

• 무단 접근;
• 데이터 도난;
• 서비스 방해;
• 개인 또는 조직에 해를 끼치는 행위;
• 기타 등등.

저는 이 익스플로잇을 공개하지만, 이 익스플로잇 사용으로 인한 오용이나 손해에 대해 책임을 지지 않습니다. 사용자는 이 익스플로잇을 사용하여 수행하는 모든 행위에 대한 모든 책임과 법적 책임을 집니다.