Docker暴露2375端口导致服务器被攻击问题及解决方法

相信了解过docker remote api的同学对2375端口都不陌生了，2375是docker远程操控的默认端口，通过这个端口可以直接对远程的docker daemon进行操作。

当$host主机以docker daemon -h=0.0.0.0:2375方式启动daemon时，可以在外部机器对$host的docker daemon进行直接操作：

好，说说如何“入侵”，怎么通过这个端口入侵宿主机呢？

这个应该要从几个点说起吧：
1. docker对user namespace没有做隔离，也就是说，容器内部的root用户就是宿主机的root用户，一旦挂载目录，就可以在容器内部以宿主机的root用户身份对挂载的文件系统随意修改了。

• docker服务拥有很高的执行权利(相当于root)，并且在docker用户组下的普通用户不需要任何其他验证就可以执行docker run等命令。
• 暴露的docker remote api端口如果没有启动ssl验证的话，任何能连通到这台docker宿主机的的机器都可以随意操作这台docker宿主机的docker daemon（docker run、docker ps、docker rm等等这些命令都不在话下）。

结合以上3点，就基本具备入侵docker宿主机的条件了

讲得似乎有点悬，不多说，直接拿一个活鲜鲜的例子来讲吧：

(请允许我用最近新学的一道菜将流程带过 ╮(￣▽￣)╭ )

秘制红烧肉(docker版)

材料：一整块一整块的“5花”ip段，越肥越好（小白用户越多越好）

配料：nmap，docker

step 1: 扫描2375端口

怎么扫？我选用的是简单易用的黑客必备神器nmap了。

扫哪里呢？我选的目标是aliyun的ip段，百度得知：

我不生产ip，我只是百度的搬运工，别问我这些ip从那来，我也想知道~ >.<

将上面ip内容保存在一个文件中，如 aliyun.list

开始扫描：

不到两分钟，第一块42.96.mosaic.mosaic（五花肉已打码） “五花肉”选好了，来吧~

step 2: 测试2375的直接控制权

这个服务器的owner也太配合了(⊙ο⊙)，ps直接看到内容，说明这个主机的2375是没有ssl验证的，基本满足入侵要求。

“五花”洗好，切好，准备下锅~

step 3: 远程启动自己的容器

拿到了docker的控制权能做什么呢？拿到了就呵呵了~

省略了一部分输出，镜像还蛮多的，就选个ubuntu吧

# docker -h tcp://42.96.mosaic.mosaic:2375 run --rm -it --entrypoint bash -v /root:/tmp/root -v /etc/ssh:/tmp/ssh_etc -v /var/log:/tmp/log ubuntu

看到这步，相信对ssh有一些了解的同学应该就明白了

step 4: ssh pub key 注入

在刚刚启动的容器中先看看 /tmp/ssh_etc/sshd_config (就是宿主机的/etc/ssh/sshd_config) 的permitrootlogin字段。如果是no就改成yes，允许root通过ssh登录

然后在你的机器上生成一对新的pub key（已经有ssh key的也建议生成一个新的，不要使用自己日常使用的ssh pub key）

继续，注入ssh pub key，回到刚刚启动的容器执行

八角香叶生抽老抽醋都加上，中火烹饪，准备出锅~

step 5: 登入服务器

大火收汁，起锅!

郑重声明

以上教程仅为交流学习之用，42.96.mosaic.mosaic 服务器上的id_rsa.pub在制作完本教程后已主动清除，并在服务上留言告知。

如果你一不小心也发现了可用的2375端口，希望也能点到即止，误做他用，或者发现其他入侵漏洞，可以和大家交流学习。

2375是docker漏洞吗？

非也！2375直接裸露地暴露在公网上纯属是用户习惯或者偷懒的问题，2375可以在相对安全的内部网络中方便测试使用，并不适合使用在投入到生产环境中。

docker官网第一篇文档quick start上有句话是这样子的：

warning: changing the default docker daemon binding to a tcp port or
unix docker user group will increase your security risks by allowing
non-root users to gain root access on the host. make sure you control
access to docker. if you are binding to a tcp port, anyone with
access to that port has full docker access; so it is not advisable
 on an open network.

已经warning告知：如果将daemon直接暴露在一个tcp端口，将可能会被以非root用户去获取宿主机的root权限。其实上面的说提到的服务器之所以这么容器被入侵，也正是这个原因。

何以防之

那么，问题来了，如果想用remote api，又不想有被入侵的风险，怎么办呢？

docker官方文档上介绍了一种通过ca认证方式使用remote api

具体可以参考：protect the docker daemon socket

(等理解了再补一篇博客吧，就姑且让我以一个链接的形式带过吧o.o)

配置过程还算是比较简单的，下面放一张图，展示配置ssl后的效果：

到此这篇关于docker暴露2375端口导致服务器被攻击问题及解决方法的文章就介绍到这了,更多相关docker 暴露2375 端口内容请搜索服务器之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持服务器之家！

原文链接：https://blog.csdn.net/weixin_41949328/article/details/104504613