Docker Forensics
Leer & oefen AWS Hack:HackTricks Opleiding AWS Red Team Expert (ARTE)
Leer & oefen GCP Hack:
HackTricks Opleiding GCP Red Team Expert (GRTE)
Kontainer-wysiging
Daar is vermoedens dat 'n sekere docker-kontainer gekompromitteer is:
Jy kan maklik die wysigings wat aan hierdie houer gedoen is met betrekking tot die beeld vind met:
In die vorige bevel beteken C Veranderd en A, Bygevoeg.
As jy vind dat 'n interessante lêer soos /etc/shadow
gewysig is, kan jy dit van die houer aflaai om vir skadelike aktiwiteit te ondersoek met:
Jy kan dit ook vergelyk met die oorspronklike een deur 'n nuwe houer te hardloop en die lêer daaruit te onttrek:
Indien jy vind dat 'n verdagte lêer bygevoeg is kan jy die houer toegang en dit nagaan:
Beeldwysigings
Wanneer jy 'n uitgevoerde docker-beeld (waarskynlik in .tar
-formaat) ontvang, kan jy container-diff gebruik om 'n opsomming van die wysigings te onttrek:
Dan kan jy die prentjie ontpak en die blobs toegang om te soek na verdagte lêers wat jy dalk in die veranderingsgeskiedenis gevind het:
Basiese Analise
Jy kan basiese inligting kry van die beeld wat loop:
Jy kan ook 'n opsomming kry van die geskiedenis van veranderinge met:
Jy kan ook 'n dockerfile van 'n prent genereer met:
Duik
Om bygevoegde/gewysigde lêers in Docker-beelde te vind, kan jy ook die duik (laai dit af van vrystellings) nutsmiddel gebruik:
Dit stel jou in staat om deur die verskillende blobs van docker-beelde te navigeer en te kontroleer watter lêers gewysig/toegevoeg is. Rooi beteken toegevoeg en geel beteken gewysig. Gebruik tab om na die ander aansig te beweeg en spasie om vouers in/uit te klap.
Met dit sal jy nie die inhoud van die verskillende fases van die beeld kan bereik nie. Om dit te doen, sal jy elke laag moet dekompresseer en dit moet bereik. Jy kan al die lêers van 'n beeld dekompresseer vanaf die gids waar die beeld gedekompresseer is deur die volgende uit te voer:
Gelde vanaf geheue
Let daarop dat wanneer jy 'n docker houer binne 'n gasheer hardloop jy kan die prosesse sien wat op die houer vanaf die gasheer hardloop deur net ps -ef
uit te voer
Daarom (as root) kan jy die geheue van die prosesse dump vanaf die gasheer en soek na gelde net soos in die volgende voorbeeld.
Last updated