kSandr
для относительного люди всегда могут заюзать $(pwd)
Anonymous
Мдэмс)
George
или $PWD
kSandr
или докеркомпоз
Anonymous
Или pwd
Anonymous
Блин
Kit
Докер композ тож не работает
Anonymous
Не поставило "`"
Kit
Короч, скорее всего кривое, на стековерфлов миллион таких проблем и никто не решил
Александр
Добрый день, Коллеги!
Недавно начал тестироватьь докер и возник вопрос
Anonymous
🤔
Александр
Могут ли сервисы в контейнерах, переходить в другие контейнеры?
Andrey
А с линком и пробросом .могут же.
Anonymous
Добрый день, кто может подсказать есть две сетки (docker network)
monitor-net
mycustom-net
вопрос:
как обратиться из сети monitor-net к объекту, который находится в mycustom-net
central
Добрый день, кто может подсказать есть две сетки (docker network)
monitor-net
mycustom-net
вопрос:
как обратиться из сети monitor-net к объекту, который находится в mycustom-net
обьеденить в еще одну сеть, или выбрасывать порты наружу
Владимир
Владимир
по хорошему должна быть третья, общая сеть, к которой подключены оба контейнера
Владимир
либо так, либо увольняйтесь
Andrey
По хорошему зачем разделять если нужно обращаться
Владимир
потому что это сейчас у вас два контейнера, а когда у вас их будет по 30 на каждом контуре
Владимир
вот тогда вы решите, что лучше было создать одну общую сеть сразу и подключать к ней контейнеры
Александр
в такой формулировке - не
Вносить изменения/взаимодействовать/проявлять активность без ведома администратора, теоритически это возможно,как я понимаю.
Меня интересует, насколько это реально, если сервис будет скомпрометирован и сталкивался ли кто-нибудь с такой тематикой
George
Александр
Скорее прикладное
Пока что думаю в следующем направлении, есть 2 контейнера, один из них скомпрометирован, может ли этот контейнер получить доступ к другому или внести изменения? Пробовал ли кто-нибудь тестирвать антивирусы для контроля?
Владимир
Вносить изменения/взаимодействовать/проявлять активность без ведома администратора, теоритически это возможно,как я понимаю.
Меня интересует, насколько это реально, если сервис будет скомпрометирован и сталкивался ли кто-нибудь с такой тематикой
теоретически контейнер завязывается на одном процессе, поэтому "переходящие процессы" работать не должны, но
Владимир
но это в теоретической утопии
George
по сети - он, понятное дело, может щупать другие контейнеры
George
они же в бридже работают.
George
т.е. это один вектор атаки - если есть СЕТЕВЫЕ уязвимости
Владимир
т.е. это один вектор атаки - если есть СЕТЕВЫЕ уязвимости
то есть, что будет если в контейнере запущен фтп сервис, который кто-то вдруг решил взломать?
George
второй вектор - контейнер может иметь доступ к каким-то файлам на хосте в пределах своей песочницы. Можно их подменить.. и ждать. Но здесь скорее всего ничего не выгорит, т.к. никто не дает доступ за пределами этих каталогов
George
потом история - побег из песочницы
George
если у тебя пользователь рут в контейнере, то есть способы как получить рута на хосте
George
а дальше все... финиш
Владимир
если у тебя пользователь рут в контейнере, то есть способы как получить рута на хосте
хорошая такая уявзимость
Владимир
1) получаем рута в контейнере с фтп
2) получаем рута на хосте
3)....
4) profit!
George
между 1 и 2 есть еще стопицот шагов
Владимир
я, to be honest, вообще не слышал, что есть уявзимости контейнеров самих по себе
Владимир
но теоретически это катастрофа)
George
я, to be honest, вообще не слышал, что есть уявзимости контейнеров самих по себе
вообще побег из песочницы - есть такая тема
George
https://latesthackingnews.com/2019/02/18/docker-container-escape-vulnerability-with-poc-cve-2019-5736/
George
надо понимать, что контейнеры - это контейнеры
Владимир
1) получаем рута в контейнере с фтп
2) получаем рута на хосте
3)....
4) profit!
это уже про второй шаг
Владимир
а про первый?
George
переформулируй
George
можно ли получить рута внутри контейнера?
George
ну, это зависит от уязвисомтей того сервиса, который там запущен, очевидно
Владимир
да и если быть точнее - если уявзимости у контейнеров
Владимир
то есть не у самой сущности "контейнер", а у сервиса, который в нём запущен
George
да
George
но если ты получил доступ ВНУТРЬ контейнера
George
то потом можешь пробовать "выйти из песочницы"
Владимир
да-да
Владимир
сейчас вспоминаю, что на андроидах была такая тема
Владимир
вроде бы так и работает "рут" для телефонов
Владимир
точно, там же весь процесс взлома на этом и построен - патчишь ядро, заливаешь файл, экзэкьютишь его и получаешь sudo доступ
George
нет. Здесь есть еще 0 шаг
George
получить доступ для того, чтобы запатчить ядро )
Владимир
"покупаешь телефон на андроиде"?
George
обычно через уязвимость радиомодуля или типа того
George
у тебя же загрузчик (бутлоадер) в телефоне по умолчанию закрыт от модификации
Владимир
точно
George
цифровые подписи и прочая дичь
Владимир
48 лет не держал телефон на андроиде, всё забыл
Владимир
либо такие, которые уже поддерживают загрузку кастомных файлов
Владимир
1) уявзимости не в контейнерах, а в сервисах 2) получить доступ из песочницы на хост можно
Владимир
шерлок, считаю дело закрытым
Oleksandr
ребята, создаю и запускаю контейнер
он обращается к локально поднятому приложению (0.0.0.0:3000)
но у него нет доступа к этому приложению?
почему и как это решить?
Anonymous
docker-compose run и docker-compose up в чем разница?
Александр
1) уявзимости не в контейнерах, а в сервисах 2) получить доступ из песочницы на хост можно
Сталкивался ли кто-нибудь с такими уязвимостями? И тестировал кто-нибудь СЗИ средства защиты от этого?
Александр
потом история - побег из песочницы
Александр
если у тебя пользователь рут в контейнере, то есть способы как получить рута на хосте
Александр
а дальше все... финиш
Anonymous