Docker Forensics

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Deepen your expertise in Mobile Security with 8kSec Academy. Master iOS and Android security through our self-paced courses and get certified:

On-demand Mobile Security Training | 8kSec Academy8kSec Academy

Modyfikacja kontenera

Istnieją podejrzenia, że niektóry kontener dockerowy został skompromitowany:

docker ps
CONTAINER ID        IMAGE               COMMAND             CREATED             STATUS              PORTS               NAMES
cc03e43a052a        lamp-wordpress      "./run.sh"          2 minutes ago       Up 2 minutes        80/tcp              wordpress

Możesz łatwo znaleźć modyfikacje wprowadzone do tego kontenera w odniesieniu do obrazu za pomocą:

docker diff wordpress
C /var
C /var/lib
C /var/lib/mysql
A /var/lib/mysql/ib_logfile0
A /var/lib/mysql/ib_logfile1
A /var/lib/mysql/ibdata1
A /var/lib/mysql/mysql
A /var/lib/mysql/mysql/time_zone_leap_second.MYI
A /var/lib/mysql/mysql/general_log.CSV
...

W poprzedniej komendzie C oznacza Zmienione, a A oznacza Dodane. Jeśli znajdziesz, że jakiś interesujący plik, taki jak /etc/shadow, został zmodyfikowany, możesz go pobrać z kontenera, aby sprawdzić aktywność złośliwą za pomocą:

docker cp wordpress:/etc/shadow.

Możesz również porównać to z oryginałem, uruchamiając nowy kontener i wyodrębniając z niego plik:

docker run -d lamp-wordpress
docker cp b5d53e8b468e:/etc/shadow original_shadow #Get the file from the newly created container
diff original_shadow shadow

Jeśli stwierdzisz, że dodano jakiś podejrzany plik, możesz uzyskać dostęp do kontenera i go sprawdzić:

docker exec -it wordpress bash

Modyfikacje obrazów

Gdy otrzymasz wyeksportowany obraz dockera (prawdopodobnie w formacie .tar), możesz użyć container-diff, aby wyodrębnić podsumowanie modyfikacji:

docker save <image> > image.tar #Export the image to a .tar file
container-diff analyze -t sizelayer image.tar
container-diff analyze -t history image.tar
container-diff analyze -t metadata image.tar

Następnie możesz rozpakować obraz i uzyskać dostęp do blobów, aby przeszukać podejrzane pliki, które mogłeś znaleźć w historii zmian:

tar -xf image.tar

Podstawowa Analiza

Możesz uzyskać podstawowe informacje z obrazu, uruchamiając:

docker inspect <image>

Możesz również uzyskać podsumowanie historii zmian za pomocą:

docker history --no-trunc <image>

Możesz również wygenerować dockerfile z obrazu za pomocą:

alias dfimage="docker run -v /var/run/docker.sock:/var/run/docker.sock --rm alpine/dfimage"
dfimage -sV=1.36 madhuakula/k8s-goat-hidden-in-layers>

Dive

Aby znaleźć dodane/zmodyfikowane pliki w obrazach docker, możesz również użyć narzędzia dive (pobierz je z releases):

#First you need to load the image in your docker repo
sudo docker load < image.tar                                                                                                                                                                                                         1 ⨯
Loaded image: flask:latest

#And then open it with dive:
sudo dive flask:latest

To pozwala na nawigację przez różne bloby obrazów dockera i sprawdzenie, które pliki zostały zmodyfikowane/dodane. Czerwony oznacza dodane, a żółty oznacza zmodyfikowane. Użyj tab aby przejść do innego widoku i spacja aby zwinąć/otworzyć foldery.

Z die nie będziesz w stanie uzyskać dostępu do zawartości różnych etapów obrazu. Aby to zrobić, musisz dekompresować każdą warstwę i uzyskać do niej dostęp. Możesz dekompresować wszystkie warstwy z obrazu z katalogu, w którym obraz został dekompresowany, wykonując:

tar -xf image.tar
for d in `find * -maxdepth 0 -type d`; do cd $d; tar -xf ./layer.tar; cd ..; done

Credentials from memory

Zauważ, że gdy uruchamiasz kontener docker na hoście, możesz zobaczyć procesy działające w kontenerze z poziomu hosta po prostu uruchamiając ps -ef.

Dlatego (jako root) możesz zrzucić pamięć procesów z hosta i wyszukiwać credentials tak jak w poniższym przykładzie.

Pogłęb swoją wiedzę w Mobile Security z 8kSec Academy. Opanuj bezpieczeństwo iOS i Androida dzięki naszym kursom w trybie samodzielnym i zdobądź certyfikat:

On-demand Mobile Security Training | 8kSec Academy8kSec Academy

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Sprawdź plany subskrypcyjne!

• Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Dziel się trikami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na githubie.