Gorsair

Gorsair — это инструмент для тестирования на проникновение, предназначенный для обнаружения и удаленного доступа к Docker API через уязвимые контейнеры Docker. После получения доступа к демону Docker вы можете использовать Gorsair для непосредственного выполнения команд в удаленных контейнерах.

Открытие Docker API в интернете представляет огромную угрозу, так как позволяет злоумышленникам получать информацию обо всех остальных контейнерах, образах и системе, а также потенциально получать привилегированный доступ ко всей системе, если образ использует пользователя root.

Установка

Из релиза

Установите:

• GORSAIR_VERSION — нужный вам релиз
• OS — вашу операционную систему (linux, windows или darwin)
• ARCH — вашу архитектуру (amd64, arm или ppc64le)

Затем выполните следующую команду для установки gorsair.

curl -sS https://github.com/Ullaakut/Gorsair/releases/download/$GORSAIR_VERSION/gorsair_$OS_$ARCH --output /usr/local/bin/gorsair && chmod +x /usr/local/bin/gorsair

Из исходников

• Убедитесь, что у вас установлена версия Go, поддерживающая модули (версии 1.11 и выше).
• Убедитесь, что в вашем окружении установлена переменная GO111MODULE со значением on.
• Выполните go build -o /usr/local/bin/gorsair cmd/*.go из корня этого репозитория.

Параметры командной строки

• -t, --targets: Укажите цели в соответствии с форматом целей nmap. Обязательно. Пример: --targets="192.168.1.72,192.168.1.74"
• -p, --ports: (По умолчанию: 2375,2376) Укажите пользовательские порты.
• -s, --speed: (По умолчанию: 4) Укажите пользовательские пресеты nmap для повышения скорости или точности обнаружения. Рекомендуется снижать значение для нестабильных и медленных сетей и повышать для очень производительных и надёжных. Можно также оставить низким для скрытности. Подробнее см. информацию о шаблонах времени nmap.
• -v, --verbose: Включить более подробные логи.
• -D, : Список IP-адресов-приманок для использования (см. )

Как защитить свои контейнеры от этой атаки

• Избегайте размещения контейнеров, имеющих доступ к сокету Docker, в интернете.
• Избегайте использования учётной записи root в контейнерах Docker.