后渗透——Docker容器逃逸

前言：

在渗透测试中，如果获取了目标主机的 shell，但发现其运行在 docker 环境中，要进一步渗透，就需要逃逸到宿主机。另外，还可能存在更复杂的场景，例如物理机运行虚拟机，虚拟机再运行 docker 容器，这种情况下还需要实现虚拟机逃逸。本文主要总结关于 docker 容器逃逸的相关技术与方法。

容器逃逸的原理：

本质上容器内的进程只是一个受限的普通 Linux 进程，容器内部进程的所有行为对于宿主机来说是透明的。我们可以在宿主机上直接使用 ps 看到容器的进程信息。

所以，容器逃逸和硬件虚拟化逃逸的本质有很大的不同(不包含 Kata Containers 等 )，容器逃逸的过程更像一个受限进程获取未受限的完整权限，又或某个原本受 Cgroup/Namespace 限制权限的进程获取更多权限的操作，更趋近于提权。

注：

Cgroup（控制组）：用于限制和管理进程的资源（如 CPU、内存、磁盘 I/O、网络带宽等）。它确保某个容器不会占用过多资源，影响
其他进程。
例如：限制某个容器最多使用 512MB 内存，防止其占满整个系统。

Namespace（命名空间）：用于隔离进程的视图，让不同容器互不影响，每个容器都认为自己运行在独立的环境中。
例如：不同容器可以有相同的进程 ID（PID）、主机名（UTS）、网络接口（Net），但它们彼此不可见。

简单理解：
Cgroup 负责"配额"（谁能用多少资源）。
Namespace 负责"隔离"（让彼此看不到对方）。
结合 Cgroup + Namespace，就能让容器像一个独立的小系统运行在宿主机上。

利用思路

Docker容器逃逸的利用思路是：

1、检测是否处于容器环境

2、进行容器逃逸

• 基于API 漏洞
• 基于危险配置
• 基于危险挂载
• 基于程序漏洞
• 基于内核漏洞

Docker 环境判断

参考 Metasploit 中检测 container 的模块(checkcontainer、checkvm)。

1. 检查/proc/1/cgroup内是否包含docker或kubepods等字符串 （虚拟机环境下也存在一些特征，感觉是主要检测方法）
2. 检查/.dockerenv文件是否存在 （虚拟机环境下无 dockerenv ）
3. 检查环境变量 （k8s 环境下有很多特征环境变量）
4. 检查 mount 信息
5. 查看硬盘信息 （fdisk -l 容器输出为空，非容器有内容输出。）

举例：

测试环境 ：docker nginx:latest 镜像

可以发现，部分通过测试，部分没有，但大体来讲能判断目前处于一个docker环境。

1.基于API 漏洞

Docker 远程API 未授权访问

Docker Swarm 是 Docker 的集群管理工具，它将 Docker 主机池转变为单个虚拟 Docker 主机，能够方便的进行 docker 集群的管理和扩展。Docker Swarm 使用标准的 Docker API 通过 2375/2376 端口来管理每个 Docker 节点，Docker API 是一个取代远程命令行界面(RCLI) 的 REST API。当 Docker 节点的 2375 端口直接暴露并未做权限检查时，存在未授权访问漏洞，攻击者可以利用Docker API执行任何操作，包括执行Docker命令，创建、删除Docker以及获得宿主机权限等。

漏洞复现

本来想用 vulhub 的 docker/unauthorized-rce 环境，但最后发现 这环境里的 docker 下不了别的镜像，于是只能在自己的 docker 环境设置一下，下面是设置步骤：

配置docker支持远程访问

1、进行文件备份

cp /lib/systemd/system/docker.service /lib/systemd/system/docker.service.bak

2、编辑docker服务文件

vim /lib/systemd/system/docker.service

3、在文件末尾加上如下代码

[Service]
ExecStart=
ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock

4、保存并退出后，重载守护进程以及重启docker服务即可

sudo systemctl daemon-reload   #重载守护进程
sudo systemctl restart docker  #重启docker服务

环境配置好后访问目标IP的 2375/2376 端口如下接口，若有信息，则存在Docker API未授权访问

http://x.x.x.x:2375/version
http://x.x.x.x:2375/