О команде

Команда безопасности Chongqing Jiugongge стремится делиться инструментами с открытым исходным кодом. Направления исследований охватывают красные и синие команды, веб-безопасность, мобильную безопасность, безопасную разработку, построение корпоративной безопасности, IoT/промышленную безопасность/AI/квантовую безопасность и многие другие области. Если вы интересуетесь безопасностью, подписывайтесь на нас.

Скрипт автоматической загрузки для harbor CVE-2022-46463

В реальных учениях по атаке и защите или при атаках на цепочку поставок часто встречается система Harbor. Из-за неправильной настройки прав разработчиками или необходимости публичных образов, требуется скрипт с полной автоматизацией:

• Поиск и обход проектов образов
• Нативная загрузка образов (без использования Docker, напрямую с помощью requests)
• Автоматическое извлечение архива образов; вы также можете добавить пользовательский поиск jar-ресурсов и т.д.
• Поддержка Harbor v1 и v2

Демонстрация скрипта

Сначала подтвердите номер версии Harbor API, его можно узнать по пакету поиска. Версия API v2.0:

Версия v1: http://x.x.x.x/api/search?q=1

Измените соответствующие параметры скрипта, запустите скрипт. Он выведет информацию и сохранит информацию об образах в текстовый файл.

Отредактируйте сгенерированный текстовый файл. На этом этапе нужно вручную удалить образы, которые не требуется загружать. Можно оценивать по имени образа, размеру образа, времени образа:

После редактирования текстового файла измените скрипт, укажите путь к файлу и запустите. Скрипт автоматически загрузит и извлечет образы.

В папке target вы увидите все извлеченные файлы: