More than 5 years have passed since last update.

Vuls using Docker on Windows

Last updated at 2019-02-27Posted at 2019-02-23

ちょうど脆弱性検査ツールを検証、導入したいと考えていたので実践してみました。

構築環境

Windows 10 1809
Docker Desktop 2.0.0.3 (31259)
WSL（Dockerの操作に利用）
- Docker version 18.06.0-ce

Dockerイメージ取得

docker pull vuls/go-cve-dictionary
docker pull vuls/goval-dictionary
docker pull vuls/gost
docker pull vuls/vuls

作業ディレクトリの作成

mkdir vuls
cd vuls/
mkdir go-cve-dictionary-log goval-dictionary-log gost-log vuls-log

fetch JVN

JVNより1998年から作業年までの脆弱性情報を取得する。

for i in `seq 1998 $(date +"%Y")`; do docker run --rm -it -v $PWD:/vuls -v $PWD/go-cve-dictionary-log:/var/log/vuls vuls/go-cve-dictionary fetchjvn -years $i; done

fetch NVD

NVDより2002年から作業年までの脆弱性情報を取得する。

for i in `seq 2002 $(date +"%Y")`; do docker run --rm -it -v $PWD:/vuls -v $PWD/go-cve-dictionary-log:/var/log/vuls vuls/go-cve-dictionary fetchnvd -years $i; done

fetch OVAL

OSのOVAL情報を取得する。（OSの脆弱性情報のようです）

docker run --rm -it -v $PWD:/vuls -v $PWD/goval-dictionary-log:/var/log/vuls vuls/goval-dictionary fetch-redhat 5 6 7

fetch gost(Go Security Tracker)

RedhatやDebian等で公開された脆弱性情報を所得するようです。

docker run --rm -it -v $PWD:/vuls -v $PWD/gost-log:/var/log/gost vuls/gost fetch redhat after=2016-01-01

Configuration

リモートサーバの脆弱性検査を行います。ここでやることは、SSHで接続できるように準備を行う感じです。

鍵の生成

ssh-keygen -t rsa

鍵のコピー

# ssh-copy-id xxx@10.64.xx.xx
/usr/bin/ssh-copy-id: INFO: Source of key(s) to be installed: "/root/.ssh/id_rsa.pub"
The authenticity of host '10.64.xx.xx (10.64.xx.xx)' can't be established.
ECDSA key fingerprint is SHA256:y7rfWbg23FBZC2A0SE/qMJtHAMHQGSYsl2qakQUPpP8.
Are you sure you want to continue connecting (yes/no)? yes
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
Password for xxx@10.64.xx.xx:

Number of key(s) added: 1

Now try logging into the machine, with:   "ssh 'xxx@10.64.xx.xx'"
and check to make sure that only the key(s) you wanted were added.

接続設定のファイル

config.toml

[servers]

[servers.10-64-xx-xx]
host = "10.64.xx.xx"
port = "22"
user = "xxx"
keypath = "/root/.ssh/id_rsa"

Configtest

このコマンドでできるらしいがうまくいきませんでした。

# docker run --rm -it -v ~/.ssh:/root/.ssh:ro -v $PWD:/vuls -v $PWD/vuls-log:/var/log/vuls vuls/vuls configtest -config=./config.toml
[Feb 23 03:23:43] ERROR [localhost] Error loading ./config.toml, 10-64-xx-xx is invalid. keypath: /root/.ssh/id_rsa not exists
[Feb 23 03:23:43] ERROR [localhost] If you update Vuls and get this error, there may be incompatible changes in config.toml
[Feb 23 03:23:43] ERROR [localhost] Please check README: https://github.com/future-architect/vuls#configuration

次のようなコマンドでコンテナー内の様子を確認したところ、原因は、/root/.sshのパーミッションが間違い、中身がない、ことのようです。

# docker run --rm -it -v ~/.ssh:/root/.ssh:ro -v $PWD:/vuls -v $PWD/vuls-log:/var/log/vuls --entrypoint "/bin/ls" vuls/vuls -al /root
total 8
drwx------    1 root     root          4096 Feb 23 08:52 .
drwxr-xr-x    1 root     root          4096 Feb 23 08:52 ..
drwxr-xr-x    2 root     root            40 Feb 23 01:55 .ssh
# docker run --rm -it -v ~/.ssh:/root/.ssh:ro -v $PWD:/vuls -v $PWD/vuls-log:/var/log/vuls --entrypoint "/bin/ls" vuls/vuls -al /root/.ssh
total 4
drwxr-xr-x    2 root     root            40 Feb 23 01:55 .
drwx------    1 root     root          4096 Feb 23 08:52 ..

うまくできないのは、Windows環境でやっているためでした。

参考：Docker Tip #56: Volume Mounting SSH Keys into a Docker Container

対策として、.sshを作業ディレクトリにコピーと、魔法のシェルを準備（リモートサーバの接続設定が増えるたびに、.sshをコピーする必要がある）

# cp -rp /root/.ssh .
# cat docker-entrypoint.sh
#!/bin/sh
set -e

cp -R /tmp/.ssh /root/.ssh
chmod 700 /root/.ssh
chmod 644 /root/.ssh/id_rsa.pub
chmod 600 /root/.ssh/id_rsa

exec "$@"

以下のようなDockerコマンドで、パーミッションやファイルが届いていることを確認しました。

# docker run --rm -it -v $PWD/.ssh:/tmp/.ssh -v $PWD:/vuls -v $PWD/vuls-log:/var/log/vuls --entrypoint "sh" vuls/vuls /vuls/docker-entrypoint.sh ls -alR /root
/root:
total 12
drwx------    1 root     root          4096 Feb 23 10:31 .
drwxr-xr-x    1 root     root          4096 Feb 23 10:31 ..
drwx------    2 root     root          4096 Feb 23 10:31 .ssh

/root/.ssh:
total 20
drwx------    2 root     root          4096 Feb 23 10:31 .
drwx------    1 root     root          4096 Feb 23 10:31 ..
-rw-------    1 root     root          1679 Feb 23 10:31 id_rsa
-rw-r--r--    1 root     root           395 Feb 23 10:31 id_rsa.pub
-rwxr-xr-x    1 root     root           222 Feb 23 10:31 known_hosts

ようやくConfigtestが成功

# docker run --rm -it -v $PWD/.ssh:/tmp/.ssh -v $PWD:/vuls -v $PWD/vuls-log:/var/log/vuls --entrypoint "sh" vuls/vuls /vuls/docker-entrypoint.sh vuls configtest -config=./config.toml
[Feb 23 10:32:48]  INFO [localhost] Validating config...
[Feb 23 10:32:48]  INFO [localhost] Detecting Server/Container OS...
[Feb 23 10:32:48]  INFO [localhost] Detecting OS of servers...
[Feb 23 10:32:49]  INFO [localhost] (1/1) Detected: 10-64-xx-xx: freebsd 10.2-RELEASE-p28
[Feb 23 10:32:49]  INFO [localhost] Detecting OS of containers...
[Feb 23 10:32:49]  INFO [localhost] Checking Scan Modes...
[Feb 23 10:32:49]  INFO [localhost] Checking dependencies...
[Feb 23 10:32:50]  INFO [10-64-xx-xx] Dependencies... No need
[Feb 23 10:32:50]  INFO [localhost] Checking sudo settings...
[Feb 23 10:32:50]  INFO [10-64-xx-xx] sudo ... No need
[Feb 23 10:32:50]  INFO [localhost] It can be scanned with fast scan mode even if warn or err messages are displayed due to lack of dependent packages or sudo settings in fast-root or deep scan mode
[Feb 23 10:32:50]  INFO [localhost] Scannable servers are below...
10-64-xx-xx

Scan

このコマンドらしいがまたしてもエラー

# docker run --rm -it -v $PWD/.ssh:/tmp/.ssh -v $PWD:/vuls -v $PWD/vuls-log:/var/log/vuls -v /etc/localtime:/etc/localtime:ro -e "TZ=Asia/Tokyo" --entrypoint "sh" vuls/vuls /vuls/docker-entrypoint.sh vuls scan -config=./config.toml
docker: Error response from daemon: OCI runtime create failed: container_linux.go:344: starting container process caused "process_linux.go:424: container init caused \"rootfs_linux.go:58: mounting \\\"/etc/localtime\\\" to rootfs \\\"/var/lib/docker/overlay2/c88697346e932555b2d5c786c2c2d550a999a3bb515a3d97bb9da7a74a7a42e1/merged\\\" at \\\"/var/lib/docker/overlay2/c88697346e932555b2d5c786c2c2d550a999a3bb515a3d97bb9da7a74a7a42e1/merged/etc/localtime\\\" caused \\\"not a directory\\\"\"": unknown: Are you trying to mount a directory onto a file (or vice-versa)? Check if the specified host path exists and is the expected type.

/（ルート）からファイルをとってくることが難しいのかもしれないので、ホームディレクトリにコピーして実行した

# cp -rp /etc/localtime .
# docker run --rm -it -v $PWD/.ssh:/tmp/.ssh -v $PWD:/vuls -v $PWD/vuls-log:/var/log/vuls -v $PWD/localtime:/etc/localtime:ro -e "TZ=Asia/Tokyo" --entrypoint "sh" vuls/vuls /vuls/docker-entrypoint.sh vu
ls scan -config=./config.toml
[Feb 23 10:39:57]  INFO [localhost] Start scanning
[Feb 23 10:39:57]  INFO [localhost] config: ./config.toml
[Feb 23 10:39:57]  INFO [localhost] Validating config...
[Feb 23 10:39:57]  INFO [localhost] Detecting Server/Container OS...
[Feb 23 10:39:57]  INFO [localhost] Detecting OS of servers...

なんとか実行できました。

PROXY環境下なので、--http-proxyを追加しました。

# docker run --rm -it -v $PWD/.ssh:/tmp/.ssh -v $PWD:/vuls -v $PWD/vuls-log:/var/log/vuls -v $PWD/localtime:/etc/localtime:ro -e "TZ=Asia/Tokyo" --entrypoint "sh" vuls/vuls /vuls/docker-entrypoint.sh vuls scan -config=./config.toml --http-proxy="xxx.xx.x.xxx:8080"

検査中に、以下のようなコマンドが発行されるようですが、私の環境ではエラーとなりました。
sshで接続先ユーザのログインシェルがborn shell系である前提のコマンドです。（FreeBSDでは、tcshを愛用している私の環境では使えませんでした。仕方なくログインシェルを変更しました）

 http_proxy="xxx.xx.x.xxx:8080" https_proxy="xxx.xx.x.xxx:8080" HTTP_PROXY="xxx.xx.x.xxx:8080" HTTPS_PROXY="xxx.xx.x.xxx:8080" pkg version -v
  exitstatus: 1
  stdout: http_proxy=xxx.xx.x.xxx:8080: Command not found.

ここまでやって、ようやく結果が出力されました。

One Line Summary
================
10-64-xx-xx     freebsd10.2-RELEASE-p28 113 installed, 0 updatable



To view the detail, vuls tui is useful.
To send a report, run vuls report -h.

Scan report

one-line summary

# docker run --rm -it -v $PWD/.ssh:/tmp/.ssh -v $PWD:/vuls -v $PWD/vuls-log:/var/log/vuls -v $PWD/localtime:/etc/localtime:ro -e "TZ=Asia/Tokyo" --entrypoint "sh" vuls/vuls /vuls/docker-entrypoint.sh vuls report -format-one-line-text

<省略>

One Line Summary
================
10-64-xx-xx     Total: 230 (High:89 Medium:136 Low:5 ?:0)       0/230 Fixed     113 installed, 0 updatable      0 exploits      en: 0, ja: 2 alerts
160-xx-x-xx     Total: 1559 (High:508 Medium:939 Low:112 ?:0)   0/1559 Fixed    643 installed                   0 exploits      en: 15, ja: 19 alerts

その他のエラー

ERROR [160-xx-x-xx] yum-utils is not installed

検査対象のサーバに、yum-utilsがインストールされている必要がある。入れたくないので、オフラインだと宣言して回避

config.toml

[servers.160-xx-x-xx]
host = "160.xx.x.xx"
port = "22"
user = "xxx"
keyPath = "/root/.ssh/id_rsa"
scanMode = ["fast", "offline"]

scanMode err: Remove offline scan mode, FreeBSD needs internet connection

FreeBSDの場合、pkg audit -F -r -f /tmp/vuln.dbを実行するので、オンライン接続が必須、回避不可

こんなエラーが出ます

pkg: http://vuxml.freebsd.org/freebsd/vuln.xml.bz2: Operation timed out
pkg: cannot fetch vulnxml file

所感

Dockerで環境が構築できることはすごく楽
Docker on Windowsは、ハメられた
リモート端末に対して検査が行えることはGood
SSHを要求するため、不特定多数の端末を検査する業務ではしんどい
Windowsが検査できないので、きっと使わない

You get articles that match your needs
You can efficiently read back useful information
You can use dark theme

What you can do with signing up