Weaponizing Distroless
Last updated
Last updated
AWS Hacking'i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)
Distroless konteyner, belirli bir uygulamayı çalıştırmak için gerekli olan bağımlılıkları içeren, gereksiz yazılım veya araçlar olmadan oluşturulmuş bir konteyner türüdür. Bu konteynerler, hafif ve güvenli olmaları için tasarlanmıştır ve gereksiz bileşenleri kaldırarak saldırı yüzeyini minimize etmeyi amaçlar.
Distroless konteynerler genellikle güvenlik ve güvenilirliğin ön planda olduğu üretim ortamlarında kullanılır.
Distroless konteynerlere bazı örnekler şunlardır:
Google tarafından sağlanan: https://console.cloud.google.com/gcr/images/distroless/GLOBAL
Chainguard tarafından sağlanan: https://github.com/chainguard-images/images/tree/main/images
Distroless konteyneri silahlandırmanın amacı, distroless'in getirdiği sınırlamalara (sistemde yaygın ikili dosyaların eksikliği) ve ayrıca konteynerlerde yaygın olarak bulunan salt okunur veya çalıştırılamaz gibi korumalara rağmen rastgele ikili dosyaları ve yükleri çalıştırabilmektir.
2023'ün bir noktasında geliyor...
****Bu yazıda, openssl ikilisinin bu konteynerlerde sıkça bulunduğu, muhtemelen konteyner içinde çalışacak yazılım tarafından gerekli olduğu açıklanmaktadır.
AWS Hacking'i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)
