Lavori in una azienda di sicurezza informatica? Vuoi vedere la tua azienda pubblicizzata in HackTricks? O vuoi avere accesso all'ultima versione di PEASS o scaricare HackTricks in PDF? Controlla i PACCHETTI DI ABBONAMENTO!
Quando esegui un container come privilegiato, queste sono le protezioni che disabiliti:
Montaggio di /dev
In un container privilegiato, tutti i dispositivi possono essere accessibili in /dev/. Pertanto, è possibile evadere montando il disco dell'host.
# docker run --rm -it alpine shls/devconsolefdmqueueptmxrandomstderrstdouturandomcorefullnullptsshmstdinttyzero
# docker run --rm --privileged -it alpine shls/devcachefilesmapperportshmtty24tty44tty7consolemempsauxstderrtty25tty45tty8coremqueueptmxstdintty26tty46tty9cpunbd0ptsstdouttty27tty47ttyS0[...]
Sistemi di file del kernel in sola lettura
I sistemi di file del kernel forniscono un meccanismo per un processo per modificare il comportamento del kernel. Tuttavia, quando si tratta di processi del contenitore, vogliamo impedire loro di apportare modifiche al kernel. Pertanto, montiamo i sistemi di file del kernel come sola lettura all'interno del contenitore, garantendo che i processi del contenitore non possano modificare il kernel.
# docker run --rm --privileged -it alpine shmount|grep'(ro'
Mascheramento dei file system del kernel
Il file system /proc è selettivamente scrivibile ma, per motivi di sicurezza, alcune parti sono protette da accessi in scrittura e lettura sovrapponendole con tmpfs, garantendo che i processi del contenitore non possano accedere ad aree sensibili.
tmpfs è un file system che memorizza tutti i file nella memoria virtuale. tmpfs non crea alcun file sul disco rigido. Quindi, se smonti un file system tmpfs, tutti i file presenti al suo interno vengono persi per sempre.
# docker run --rm -it alpine shmount|grep/proc.*tmpfstmpfson/proc/acpitypetmpfs (ro,relatime)tmpfson/proc/kcoretypetmpfs (rw,nosuid,size=65536k,mode=755)tmpfson/proc/keystypetmpfs (rw,nosuid,size=65536k,mode=755)
# docker run --rm --privileged -it alpine shmount|grep/proc.*tmpfs
Linux capabilities
I motori dei container avviano i container con un numero limitato di capabilities per controllare ciò che accade all'interno del container per impostazione predefinita. Quelli privilegiati hanno tutte le capabilities accessibili. Per saperne di più sulle capabilities, leggi:
# docker run --rm -it alpine shapkadd-Ulibcap; capsh--print[...]Current: cap_chown,cap_dac_override,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_net_bind_service,cap_net_raw,cap_sys_chroot,cap_mknod,cap_audit_write,cap_setfcap=eip
Bounding set =cap_chown,cap_dac_override,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_net_bind_service,cap_net_raw,cap_sys_chroot,cap_mknod,cap_audit_write,cap_setfcap
[...]
# docker run --rm --privileged -it alpine shapkadd-Ulibcap; capsh--print[...]Current:=eipcap_perfmon,cap_bpf,cap_checkpoint_restore-eipBounding set =cap_chown,cap_dac_override,cap_dac_read_search,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_linux_immutable,cap_net_bind_service,cap_net_broadcast,cap_net_admin,cap_net_raw,cap_ipc_lock,cap_ipc_owner,cap_sys_module,cap_sys_rawio,cap_sys_chroot,cap_sys_ptrace,cap_sys_pacct,cap_sys_admin,cap_sys_boot,cap_sys_nice,cap_sys_resource,cap_sys_time,cap_sys_tty_config,cap_mknod,cap_lease,cap_audit_write,cap_audit_control,cap_setfcap,cap_mac_override,cap_mac_admin,cap_syslog,cap_wake_alarm,cap_block_suspend,cap_audit_read
[...]
È possibile manipolare le capacità disponibili per un contenitore senza eseguire la modalità --privileged utilizzando i flag --cap-add e --cap-drop.
Seccomp
Seccomp è utile per limitare le chiamate di sistema che un contenitore può effettuare. Un profilo Seccomp predefinito è abilitato di default quando si eseguono contenitori Docker, ma in modalità privilegiata è disabilitato. Per saperne di più su Seccomp, clicca qui:
# docker run --rm -it alpine shgrepSeccomp/proc/1/statusSeccomp:2Seccomp_filters:1
# docker run --rm --privileged -it alpine shgrepSeccomp/proc/1/statusSeccomp:0Seccomp_filters:0
# You can manually disable seccomp in docker with--security-optseccomp=unconfined
Inoltre, nota che quando Docker (o altri CRIs) vengono utilizzati in un cluster Kubernetes, il filtro seccomp è disabilitato per impostazione predefinita.
AppArmor
AppArmor è un miglioramento del kernel per confinare i container a un insieme limitato di risorse con profili per programma. Quando si esegue con il flag --privileged, questa protezione viene disabilitata.
# You can manually disable seccomp in docker with--security-optapparmor=unconfined
SELinux
L'esecuzione di un container con il flag --privileged disabilita le etichette SELinux, facendo sì che erediti l'etichetta del motore del container, di solito unconfined, concedendo pieno accesso simile al motore del container. In modalità senza privilegi, viene utilizzato container_runtime_t, mentre in modalità root viene applicato spc_t.
# You can manually disable selinux in docker with--security-optlabel:disable
Cosa non viene influenzato
Namespaces
I namespace NON sono influenzati dal flag --privileged. Anche se non hanno abilitate le restrizioni di sicurezza, non vedono tutti i processi del sistema o la rete dell'host, ad esempio. Gli utenti possono disabilitare i singoli namespace utilizzando i flag --pid=host, --net=host, --ipc=host, --uts=host dei motori dei container.
# docker run --rm --privileged -it alpine shps-efPIDUSERTIMECOMMAND1root0:00sh18root0:00ps-ef
Di default, i motori di container non utilizzano gli spazi dei nomi utente, ad eccezione dei container senza privilegi, che li richiedono per il montaggio del file system e l'utilizzo di più UID. Gli spazi dei nomi utente, fondamentali per i container senza privilegi, non possono essere disabilitati e migliorano significativamente la sicurezza limitando i privilegi.
Lavori in una azienda di sicurezza informatica? Vuoi vedere la tua azienda pubblicizzata in HackTricks? O vuoi avere accesso all'ultima versione di PEASS o scaricare HackTricks in PDF? Controlla i PACCHETTI DI ABBONAMENTO!
