Gorsair

Gorsair는 취약한 Docker 컨테이너에서 Docker API를 탐색하고 원격으로 접근하기 위한 침투 테스트 도구입니다. Docker 데몬에 접근하면 Gorsair를 사용하여 원격 컨테이너에서 직접 명령을 실행할 수 있습니다.

인터넷에 Docker API를 노출하는 것은 엄청난 위험입니다. 공격자가 다른 모든 컨테이너, 이미지 및 시스템에 대한 정보를 얻을 수 있을 뿐만 아니라, 이미지에서 root 사용자를 사용할 경우 전체 시스템에 대한 권한 있는 접근을 얻을 수도 있기 때문입니다.

설치

릴리즈에서

다음을 설정하세요:

• GORSAIR_VERSION : 관심 있는 릴리즈 버전
• OS : 운영 체제 (linux, windows 또는 darwin)
• ARCH : 아키텍처 (amd64, arm, 또는 ppc64le)

그런 다음 다음 명령어를 실행하여 gorsair를 설치하세요.

curl -sS https://github.com/Ullaakut/Gorsair/releases/download/$GORSAIR_VERSION/gorsair_$OS_$ARCH --output /usr/local/bin/gorsair && chmod +x /usr/local/bin/gorsair

소스에서

• Go 버전이 모듈을 지원하는지 확인하세요 (버전 1.11 이상)
• 환경 변수 GO111MODULE이 on으로 설정되어 있는지 확인하세요
• 이 저장소의 루트에서 go build -o /usr/local/bin/gorsair cmd/*.go를 실행하세요

명령줄 옵션

• -t, --targets: nmap 대상 형식에 따라 대상을 설정합니다. 필수 항목. 예: --targets="192.168.1.72,192.168.1.74"
• -p, --ports: (기본값: 2375,2376) 사용자 정의 포트를 설정합니다.
• -s, --speed: (기본값: 4) 속도나 정확성을 높이기 위해 사용자 정의 nmap 발견 프리셋을 설정합니다. 불안정하고 느린 네트워크를 스캔하는 경우 값을 낮추고, 성능이 좋고 안정적인 네트워크에서는 값을 높이는 것이 좋습니다. 발견을 은밀하게 유지하려면 낮게 유지할 수도 있습니다. 자세한 내용은 nmap 타이밍 템플릿을 참조하세요.
• -v, --verbose: 더 자세한 로그를 활성화합니다.
• -D, --decoys: 사용할 디코이 IP 주소 목록 ( 참조)

이 공격으로부터 컨테이너를 보호하는 방법

• Docker 소켓에 접근할 수 있는 컨테이너를 인터넷에 두지 마세요
• Docker 컨테이너에서 root 계정을 사용하지 마세요