当前位置: 首页 > 技术干货 > 攻击和审计Docker容器04

攻击和审计Docker容器04

发表于:2019-12-24 10:05 作者: Lee2dog 阅读数(2435人)

攻击和审计Docker容器04

一、安全加固之Linux安全模型

1、LSM

LSM 是Linux内核的一个轻量级通用访问控制框架。用户可以根据其需求选择适合的安全模块加载到Linux内核中,从而大大提高了Linux安全访问控制机制的灵活性和易用性。

LSM框架的设计初衷是为了在Linux Kernel中实现一个MAC(Mandat-ory Access Control,强制访问控制) Hook框架,LSM已经作为Linux Kernel的一部分随着内核一起发布了,使用框架的好处就在于,安全人员可以直接基于LSM框架进行上层审计模块的开发,专注于业务逻辑,而不需要关注底层的内核差异兼 容性和稳定性,这是相对于sys_call hook方式最大的优势。它提供了全面的安全策略:比如 SELinux、Smack、TomoyoAppArmor

2、LSM 演示

2.1 运行一个容器

  1. student@debian:~$ docker run --rm -it --name lsm-before -p 4321:80 nginx bash
  2. root@6ecbf1e837e9:/# sh
  3. # dash
  4. # bash
  5. root@6ecbf1e837e9:/# exit
  6. exit
  7. # exit
  8. # exit
  9. root@6ecbf1e837e9:/# exit
  10. exit

2.2 添加安全选项

Apparmor简介

由于SELinux使用复杂,适用于对安全要求特别高的企业或者组织,为了简化操作,就推出了Apparmor,所以可以说Apparmor脱胎于SELinux,但与SELinux基于角色的MAC不同的是,Apparmor是与程序绑定的基于路径的MAC,也就是说如果路径发生改变,策略就会失效。

现在我们添加 apparmor安全选项,再执行 sh或者 dash试试

  1. student@debian:~$ cd /opt/docker-nginx/
  2. student@debian:/opt/docker-nginx$ sudo bane sample.toml
  3. Profile installed successfully you can now run the profile with
  4. `docker run --security-opt="apparmor:docker-nginx-sample"`
  5. student@debian:/opt/docker-nginx$ docker run --rm -it --name lsm-after \
  6. > --security-opt="apparmor:docker-nginx-sample" -p 4320:80 nginx bash
  7. root@0bd1bb6f98b4:/# sh
  8. bash: /bin/sh: Permission denied
  9. root@0bd1bb6f98b4:/# dash
  10. bash: /bin/dash: Permission denied
  11. root@0bd1bb6f98b4:/# bash
  12. root@0bd1bb6f98b4:/#

发现执行命令会提示权限限制。

2.3 查看安全配置

我们来看看使用 bane创建的 apparmor配置文件: /opt/docker-nginx/docker-nginx-sample

  1. student@debian:/opt/docker-nginx$ cat docker-nginx-sample
  2. #include <tunables/global>
  3. profile docker-nginx-sample flags=(attach_disconnected,mediate_deleted) {
  4. #include <abstractions/base>
  5. network inet tcp,
  6. network inet udp,
  7. network inet icmp,
  8. deny network raw,
  9. deny network packet,
  10. file,
  11. umount,
  12. deny /bin/** wl,
  13. deny /boot/** wl,
  14. deny /dev/** wl,
  15. deny /etc/** wl,
  16. deny /home/** wl,
  17. deny /lib/** wl,
  18. deny /lib64/** wl,
  19. deny /media/** wl,
  20. deny /mnt/** wl,
  21. deny /opt/** wl,
  22. deny /proc/** wl,
  23. deny /root/** wl,
  24. deny /sbin/** wl,
  25. deny /srv/** wl,
  26. deny /tmp/** wl,
  27. deny /sys/** wl,
  28. deny /usr/** wl,
  29. audit /** w,
  30. /var/run/nginx.pid w,
  31. /usr/sbin/nginx ix,
  32. deny /bin/dash mrwklx,
  33. deny /bin/sh mrwklx,
  34. deny /usr/bin/top mrwklx,

二、安全加固之CGroup

简介:CGroup 是 Control Groups 的缩写,是 Linux 内核提供的一种可以限制、记录、隔离进程组 (process groups) 所使用的物力资源 (如 cpu memory i/o 等等) 的机制。2007 年进入 Linux 2.6.24 内核,CGroups 不是全新创造的,它将进程管理从 cpuset 中剥离出来,作者是 Google 的 Paul Menage。CGroups 也是 LXC 为实现虚拟化所使用的资源管理手段。

更多简介: CGroup 介绍、应用实例及原理描述

https://www.ibm.com/developerworks/cn/linux/1506_cgroup/index.html

1、CGroup演示

1.1 运行两个不同CPU资源的容器

  1. student@debian:~$ docker run -d --name='low_priority' --cpuset-cpus=0 --cpu-shares=10 alpine md5sum /dev/urandom
  2. 1ba913c97572ecca172babaed0038abfc35670ae1748ed76db8c1c875e173632
  3. student@debian:~$ docker run -d --name='high_priority' --cpuset-cpus=0 --cpu-shares=50 alpine md5sum /dev/urandom
  4. f3757941e55cab375d672931f026fe0ff986d9d082fc1fea62cacd373b2aeb9c
  5. student@debian:~$

1.2 查看资源占用状态

image-20191118173641167

1.3 停止并删除容器

  1. student@debian:~$ docker stop low_priority high_priority
  2. low_priority
  3. high_priority
  4. student@debian:~$ docker rm low_priority high_priority
  5. low_priority
  6. high_priority
  7. student@debian:~$

1.4 不指定CPU资源的情况下运行

  1. student@debian:~$ docker run -d --name='high_priority' alpine md5sum /dev/urandom
  2. 96c1ffae0f6e6837b360f6859d013377ad01a14ba69f21b1af36145230541056
  3. student@debian:~$ docker run -d --name='low_priority' alpine md5sum /dev/urandom
  4. 709b1bf31cf2dee3c27b7b024e2c7e1e11846c75736897decce3104d6608f02a
  5. student@debian:~$

1.5 再次查看资源占用

image-20191118174117286

可以看到没有限制CPU资源的情况下,CPU资源基本是被平分的。

停止和删除容器。

  1. docker stop low_priority high_priority
  2. docker rm low_priority high_priority

三、利用Cluster Secrets

在这个场景中,我们将通过利用有漏洞的应用程序来访问 docker swarm cluster secrets数据。

CTF-VM中运行了一个存在代码执行漏洞的应用程序,且附加了 docker secrets数据。

访问 http://CTF-VMIP:8080/?domain=;id

image-20191119112805933

我们可以利用 printenv命令来访问应用程序容器内的环境变量

image-20191119135718033

浏览目录

image-20191119142254292

查看文件

image-20191119142447191

四、Contained.af

docker安全在线挑战网站: https://contained.af,感兴趣的可以去玩玩。

References

DEF CON 26 Workshop - Attacking & Auditing Docker Containers Using Open Source https://github.com/appsecco/defcon-26-workshop-attacking-and-auditing-docker-containers

备注:

本文由作者原创翻译

完结撒花