Gorsair

Gorsair é uma ferramenta de teste de penetração para descobrir e acessar remotamente APIs Docker a partir de contêineres Docker vulneráveis. Uma vez que tenha acesso ao daemon do Docker, você pode usar o Gorsair para executar comandos diretamente em contêineres remotos.

Expor a API do Docker na internet é um risco enorme, pois pode permitir que agentes maliciosos obtenham informações sobre todos os outros contêineres, imagens e o sistema, além de potencialmente obter acesso privilegiado a todo o sistema se a imagem usar o usuário root.

Instalação

A partir de um release

Defina:

• GORSAIR_VERSION para a versão que você deseja
• OS para o seu sistema operacional (linux, windows ou darwin)
• ARCH para a sua arquitetura (amd64, arm ou ppc64le)

E então execute o seguinte comando para instalar o gorsair.

curl -sS https://github.com/Ullaakut/Gorsair/releases/download/$GORSAIR_VERSION/gorsair_$OS_$ARCH --output /usr/local/bin/gorsair && chmod +x /usr/local/bin/gorsair

A partir do código fonte

• Certifique-se de ter uma versão do Go que suporte módulos (versões 1.11 ou superiores)
• Certifique-se de que seu ambiente possua a variável GO111MODULE definida como on
• Execute go build -o /usr/local/bin/gorsair cmd/*.go a partir da raiz deste repositório

Opções da linha de comando

• -t, --targets: Defina os alvos de acordo com o formato de alvo do nmap. Obrigatório. Exemplo: --targets="192.168.1.72,192.168.1.74"
• -p, --ports: (Padrão: 2375,2376) Defina portas personalizadas.
• -s, --speed: (Padrão: 4) Defina predefinições de descoberta do nmap para melhorar a velocidade ou precisão. Recomenda-se diminuir se você estiver tentando escanear uma rede instável e lenta, ou aumentar se estiver em uma rede muito rápida e confiável. Você também pode querer mantê-lo baixo para manter a descoberta furtiva. Veja isto para mais informações sobre os modelos de temporização do nmap.
• -v, --verbose: Ative logs mais detalhados.

Como posso proteger meus contêineres deste ataque

• Evite colocar contêineres que tenham acesso ao soquete do Docker na internet
• Evite usar a conta root em contêineres Docker