Apresentação da Equipe

Equipe de Segurança Chongqing Jiugongge dedica-se a compartilhar ferramentas de segurança de código aberto, cobrindo áreas como Red vs Blue, Segurança Web, Segurança Móvel, Desenvolvimento Seguro, Construção de Segurança Empresarial, IoT/Segurança Industrial/AI/Segurança Quântica, entre outras. Se você tem interesse em segurança, siga-nos.

Script de download totalmente automatizado para harbor CVE-2022-46463

Durante exercícios de ataque e defesa ou ataques à cadeia de suprimentos, frequentemente encontramos sistemas harbor. Devido a configurações incorretas de permissões por desenvolvedores ou necessidade de imagens públicas, um script totalmente automatizado é necessário para:

• Pesquisar e percorrer projetos de imagens
• Baixar imagens nativamente (sem chamar o Docker, usando diretamente requests para download)
• Extrair automaticamente o pacote de imagem; você pode complementar com busca personalizada de recursos jar, etc.
• Suportar versões harbor v1 e v2

Demonstração do Script

Primeiro, confirme o número da versão da API do harbor. Pode ser obtido através da captura de pacotes de busca. A versão da API é v2.0:

A versão v1 é: http://x.x.x.x/api/search?q=1

Modifique os parâmetros relevantes no script e execute-o. Serão exibidas informações relevantes e as informações da imagem serão salvas em um arquivo de texto.

Edite o arquivo de texto gerado. Neste momento, é necessário excluir manualmente as imagens que não precisam ser baixadas. Pode-se julgar com base no nome da imagem, tamanho da imagem e tempo da imagem:

Após editar o arquivo de texto, modifique o script para inserir o caminho do arquivo. Execute-o e o script fará o download automático da imagem e a extração.

Todos os arquivos extraídos serão visualizados no diretório target: