当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0209291

漏洞标题：新姿势之获取果壳全站代码和多台机器root权限

相关厂商：果壳传媒

漏洞作者： 黑客,绝对是黑客

提交时间：2016-05-16 14:39

修复时间：2016-05-21 14:40

公开时间：2016-05-21 14:40

漏洞类型：敏感信息泄露

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2016-05-16： 细节已通知厂商并且等待厂商处理中
2016-05-21： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

新姿势～
可获取 果壳，mooc，在行等全站代码
并获取机器root权限

详细说明：

0x00 简介
果壳自动化build docker image的系统

http://builder.iguokr.com/#/signin


builder.png


通过之后的分析，发现是通过gitlab hook，当代码变更时，自动触发image build过程，通过将代码和运行环境打包到 docker image里，实现自动化和快速部署
0x01 漏洞原因
docker engine daemon api直接暴露公网



mask 区域


1.http://**.**.**







还有很多其他ip也开放2375端口，请厂商自查


也就是说，docker能做的所有操作，这里都可以做
比如：运行、删除container，拉取image等等
0x02 漏洞证明
查看当前运行的container
docker 命令行（需要安装docker）



mask 区域


1.://**.**.**//54.223.50.135:2375 ps


或直接访问



mask 区域


1.http://**.**.**/containers/json


CLI结果



mask 区域


*****         CREATED             STATUS         *****
*****       4 days ago          Up 4 days              *****
*****       4 days ago          Up 4 days              *****
*****       4 days ago          Up 4 days              *****
*****         4 days ago          Up 4 days           *****
*****       4 days ago          Up 4 days              *****
*****       4 days ago          Up 4 days              *****
*****         4 days ago          Up 4 days           *****
*****.s"   4 days ago          Up 4 days        *****
*****ntrypoint.sh redis"   4 days ago   *****


已证明，其他不列出

漏洞证明：

0x03 脑洞大开
我们现在能做的只是运行docker的一些命令，比如操作container、image，没法直接控制宿主机
那么怎么才能控制宿主机呢？
先分析下：
docker的运行需要root权限的，即我们有一个以root运行的进程
但docker本身执行命令只能在container内部，与宿主机是隔离的，即使是反弹一个shell，控制的也是container，除非有溢出漏洞，然而我并没有～
那么我们来看一下docker本身能够做什么？
脑洞开了下，想到docker 运行 container的时候，可以将本地文件或目录作为volume挂载到container内，并且在container内部，这些文件和目录是可以修改的。
这里一下就想到了redis + ssh漏洞，非常的像
我们看一下服务器是否开放22端口，bingo，有ssh服务器



mask 区域


*****23.50.*****
*****23.50.*****
*****54.223.*****
*****is '*****
*****.1p1 Ubunt*****


那么直接把/root/.ssh目录挂载到container内，比如/tmp/.ssh，然后修改/tmp/.ssh/authorized_keys
文件，把自己的public key写进去，然后就可以了登录
0x04 获取机器root权限
这里具体命令就不给了，只给出证明
ifconfig



mask 区域


*****1-1-228*****
*****(root) gr*****


/home/ubuntu目录下文件



mask 区域


1.://**.**.**/home/ubuntu
***** 18*****
*****tu  163 Sep 24*****
*****ubuntu 4.0K *****
*****untu 4.0K Apr*****
*****tu 4.0K Sep  7*****
***** 77 Apr  8 05:50*****
*****untu 4.0K Dec*****
*****tu 4.0K Nov 12*****
*****ubuntu 4.0K *****
*****untu 4.0K May*****
*****ot   4.0K Dec*****
*****.7K Apr 28 10:20*****
*****tu 472K Dec 17*****
*****tu 1.3K Feb  3*****
*****untu 4.0K Nov*****
*****root   4.0K *****
*****tu 4.0K Mar  8*****
*****22M Mar  2 20:10*****
*****untu 4.0K Mar*****
*****tu 1.2K Feb 11*****
*****  14M Dec 17 03*****
*****tu 4.0K Feb 23*****
*****untu 4.0K May*****
***** 110M Dec  3 09*****
*****untu  243 Nov*****
*****M Jul 31  2015 so*****
*****untu 4.0K Jan*****
*****untu  689 Nov*****


docker仓库在内网 docker-registry.guokr.com 

ping docker-registry.guokr.com
PING ec2-54-222-135-194.cn-north-1.compute.amazonaws.com.cn (172.31.14.62) 56(84) bytes of data.


0x04 获取全站源代码
对当前docker运行的container进行了查看和分析，发现image build的过程会从

git.iguokr.com


拉取源代码，这里是用了public key验证，找了找，在代码中发现了私钥和公钥
且git.iguokr.com公网开放
有了密钥，看到builder有一个postgresql数据库，可以公网连接，在代码中找到帐号和密码
连接后发现有git repository列表，这里给出部分

D483D862-AA32-49F9-A89E-6319888940EB.png

8F89C4FE-4B74-4F52-83F7-ACD5EF3D78D5.png


里面有果壳，在行，mooc等全站代码，
git clone一份，给出证明

2B3A8380-87DB-4AF5-9620-CDD5C3895CF2.png


0x05 哎～
在机器上装了个nmap，对所在网段的b段扫了下2375端口，扫到了一些只有内网才能访问的2375端口，并且都有ssh服务，都可以拿到root权限，这里就不贴了，和这个类似。
本来想试试能不能撸到线上，结果发现线上环境在另一个网段，试了试还是放弃了

修复方案：

禁止外网访问～

版权声明：转载请注明来源 黑客,绝对是黑客@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2016-05-21 14:40

厂商回复：

漏洞Rank：15 (WooYun评价)

最新状态：

暂无

漏洞评价：

评价

  1. 2016-05-16 14:43 | 瘦蛟舞 认证白帽子 ( 普通白帽子 | Rank:765 漏洞数:83 | 铁甲依然在)

    黑客就是屌

  2. 2016-05-16 14:43 | 狗胜 认证白帽子 ( 路人 | Rank:11 漏洞数:1 | ../../../../../../../../../../../../../....)

    据说国内外都没有的姿势。。我想看看这个b有多牛

  3. 2016-05-16 14:46 | sauce ( 普通白帽子 | Rank:228 漏洞数:37 | test)

    据说国内外都没有的姿势。。

  4. 2016-05-16 14:47 | phith0n 认证白帽子 ( 普通白帽子 | Rank:816 漏洞数:126 | 一个想当文人的黑客~)

    这个姿势才不会告诉你们

  5. 2016-05-16 14:57 | 千机 ( 普通白帽子 | Rank:490 漏洞数:89 | 蜀中唐门，千机鬼斧)

    黑客,绝对是黑客

  6. 2016-05-16 16:17 | 孤独雪狼 认证白帽子 ( 普通白帽子 | Rank:761 漏洞数:159 | 七夕手机被偷，这坑爹的七夕啊 。。。。)

    gitlab?

  7. 2016-05-16 16:18 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1393 漏洞数:147 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    前排学习姿势

  8. 2016-05-16 16:27 | 数据流 认证白帽子 ( 普通白帽子 | Rank:817 漏洞数:100 | 没关系啊，我们还有音乐)

    lz的姿势水平挺高的嘛

  9. 2016-05-16 17:06 | Hax0rs ( 实习白帽子 | Rank:61 漏洞数:12 | Hax0rs)

    黑客,绝对是黑客

  10. 2016-05-16 17:12 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1878 漏洞数:154 | 不要患得患失，我羡慕你，但是我还是选择做...)

    zabbix？monitor？

  11. 2016-05-16 17:20 | f4ckbaidu ( 普通白帽子 | Rank:265 漏洞数:33 | 开发真是日了狗了)

    mark

  12. 2016-05-16 17:26 | 黑客,绝对是黑客 ( 实习白帽子 | Rank:41 漏洞数:6 | 黑客,绝对是黑客)

    非gitlab zabbix monitor

  13. 2016-05-16 17:34 | scanf ( 核心白帽子 | Rank:1621 漏洞数:221 | 。)

    那是什么求文章

  14. 2016-05-16 17:37 | Raven ( 路人 | Rank:8 漏洞数:3 | rm -rf /)

    黑客,绝对是黑客

  15. 2016-05-16 18:20 | 黑客,绝对是黑客 ( 实习白帽子 | Rank:41 漏洞数:6 | 黑客,绝对是黑客)

    @scanf 请关注drops

  16. 2016-05-16 18:55 | 姿势不行 ( 路人 | Rank:22 漏洞数:7 | 我是爱卖萌的小阿狸呀http://www.qinqinyo....)

    这姿势。。

  17. 2016-05-16 19:26 | 放逐 ( 路人 | Rank:2 漏洞数:1 | 白帽子放逐Gg？得失乐与悲与Av Qq205655539)

    黑客,绝对是黑客

  18. 2016-05-16 19:28 | sco4x0 ( 实习白帽子 | Rank:35 漏洞数:14 )

    太黑客了

  19. 2016-05-16 20:46 | Q1NG ( 普通白帽子 | Rank:148 漏洞数:27 | 临 兵 斗 者 皆 阵 列 前 行 !)

    @黑客,绝对是黑客 黑客绝逼是黑客

  20. 2016-05-16 20:51 | fun ( 实习白帽子 | Rank:46 漏洞数:20 | 做自己喜欢的事。)

    围观一下

  21. 2016-05-16 20:53 | dragon110 ( 路人 | Rank:2 漏洞数:1 | 谨言、慎行、多思。)

    @黑客,绝对是黑客 黑客绝逼是黑客

  22. 2016-05-16 22:10 | 无名 ( 实习白帽子 | Rank:41 漏洞数:9 | 我是一只小菜鸟呀，伊雅伊尔哟。)

    坐等新姿势

  23. 2016-05-16 22:39 | 凌晨G度 ( 路人 | Rank:7 漏洞数:2 | 充实的麦穗都是低着头，倒是那些空壳却昂着...)

    前来围观

  24. 2016-05-16 23:01 | 小逗逼 ( 路人 | Rank:5 漏洞数:3 | rt)

    坐等新姿势

  25. 2016-05-16 23:11 | STCX ( 路人 | Rank:21 漏洞数:8 | 向大黑阔们致敬)

    不会要火吧，赶紧留个名

  26. 2016-05-17 08:21 | 山鹰 ( 实习白帽子 | Rank:78 漏洞数:23 | 拒绝搞基，啊哈)

    黑客，绝对是黑客，要火

  27. 2016-05-17 10:34 | 少宇 ( 实习白帽子 | Rank:32 漏洞数:13 | QQ ：1126179674 By : 少宇 http://www.90...)

    这个黑客要火，相信我

  28. 2016-05-17 12:55 | X20610 ( 普通白帽子 | Rank:209 漏洞数:40 )

    吓死我了 还以为你发现我零蛋了

  29. 2016-05-17 13:47 | HackBraid 认证白帽子 ( 核心白帽子 | Rank:1888 漏洞数:300 | 最近有人冒充该账号行骗，任何自称HackBrai...)

    这种该加精华啊

  30. 2016-05-18 12:46 | Hucheat ( 路人 | Rank:12 漏洞数:5 | 什么时候才不是路人T_T)

    漏洞类型：敏感信息泄露

  31. 2016-05-18 16:13 | 雷锋 ( 路人 | Rank:12 漏洞数:2 | 看人生万般无奈，看世间千姿百态...)

    照这么下去，所有厂商还不都被刷下去呀

  32. 2016-05-18 16:57 | jackyu ( 路人 | Rank:14 漏洞数:9 | 世界上没有一个系统是绝对安全的，系统最大...)

    我草，什么漏洞怎么严重，获取果壳全站代码和多台机器root权限