什麼？Docker容器裡面有惡意軟體！這比你想像的來得更常見！

科技 07-30

研究人員表示，「軟體監獄」可能隱藏惡意的攻擊有效載荷。

研究人員警告，Docker容器是掩飾惡意軟體感染的最佳環境。

以色列安全初創公司Aqua Security的兩名研究人員邁克爾·徹尼（Michael Cherny）和薩奇·達爾西（Sagie Dulce）在拉斯維加斯召開的2017年黑帽美國大會上登台發言，表示不法分子可以濫用Docker API，進而遠程執行代碼、繞開安全防線（https://www.blackhat.com/docs/us-17/thursday/us-17-Cherny-Well-That-Escalated-Quickly-How-Abusing-The-Docker-API-Led-To-Remote-Code-Execution-Same-Origin-Bypass-And-Persistence_wp.pdf）。

作為一種測試代碼的方式，Docker在開發人員當中頗受歡迎，它讓整個IT堆棧（操作系統、固件和應用程序）得以在一個名為容器的封閉環境中運行。雖然這種結構對於測試代碼有莫大的吸引力，但也可能被攻擊者濫用，讓惡意軟體得以在公司內部四處感染。

研究人員解釋道，如果攻擊者找到下手的開發人員，不僅可以在公司網路裡面運行惡意軟體代碼，還可以在許可權提升的情況下這麼做。

攻擊過程如下：欺騙受害者打開實際上由攻擊者控制的網頁，然後使用REST API調用來執行Docker Build命令，創建一個將執行任意代碼的容器。藉助一種名為「主機重新綁定」（Host Rebinding）的手法，攻擊者就可以繞過同源策略（Same-Origin Policy）保護機制，獲得訪問底層Moby Linux虛擬機的root許可權。

因此，攻擊者可竊取開發人員的登錄信息，在開發人員的計算機上運行惡意軟體，或者將惡意軟體注入到容器映像本身裡面；那樣一來，每當容器啟動，惡意軟體就會到處感染。

兩位作者寫道：「攻擊完成後，攻擊者將獲得持續的代碼，可以完全訪問受害者的網路。代碼在Moby Linux虛擬機裡面運行，因而很難被察覺。」

敞開大門

導致攻擊更為糟糕的是通常為容器和開發人員帳戶賦予了級別很高的系統訪問權。Docker在開發人員的PC上本地運行時，它們很容易受到像跨站請求偽造漏洞這類攻擊的影響，這種漏洞隨後可以利用系統缺陷，比如TCP請求的處理。

兩名研究人員指出：「關鍵是，安裝Docker for Windows的每個開發人員實際上直接在本地機器上運行Docker。原因在於，即使Docker守護程序和容器在虛擬機裡面運行，Docker客戶軟體也與主機端守護程序進行通信。」

Aqua Security的兩名研究人員表示，他們已經向Docker報告了其中一個攻擊途徑：易受攻擊的TCP組件，Docker已發布了更新以補救缺陷。

不過徹尼和達爾西表示，還可以利用Docker中的其他缺陷，不僅可以感染容器，還可以感染系統上運行的主機及其他虛擬機。

「掃描映像以清除可能被利用的惡意代碼或漏洞，這點很重要。此外，運行時保護機制可確保你的容器『循規蹈矩』，沒有執行任何惡意操作。」

點擊展開全文

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！