portainer-tactics
Portainer 后渗透方法论：默认凭据认证突破、用户枚举时间差攻击、Docker API特权容器逃逸RCE、宿主机文件系统挂载。 当用户提到Portainer漏洞、Portainer RCE、Portainer Docker逃逸、Portainer认证绕过、Portainer利用、Portainer检测时，必须使用此技能。 也适用于用户提到Docker管理面板漏洞、容器管理平台利用、Portainer CE/BE渗透等场景。
Source facts
- Repository
- wgpsec/AboutSecurity
- Last source activity
- April 22, 2026 at 13:22
- Detected SKILL.md language
- Chinese
- Stars
- 1,846
- Forks
- 258
Install options
The review-first prompt is selected by default. You can switch to a direct command or download a local copy.
Review the source files
Read SKILL.md and any companion files shown by SkillsMP before deciding whether to install.
File Explorer
2 filesShowing SKILL.md
SKILL.md
Source instructions · Read-only preview- name
- portainer-tactics
- description
- Portainer 后渗透方法论：默认凭据认证突破、用户枚举时间差攻击、Docker API特权容器逃逸RCE、宿主机文件系统挂载。 当用户提到Portainer漏洞、Portainer RCE、Portainer Docker逃逸、Portainer认证绕过、Portainer利用、Portainer检测时，必须使用此技能。 也适用于用户提到Docker管理面板漏洞、容器管理平台利用、Portainer CE/BE渗透等场景。
- metadata
- {"tags":"Portainer,Docker,容器管理,默认凭据,用户枚举,SSRF,特权容器逃逸,RCE,Kubernetes","category":"postexploit","mitre_attack":"T1190,T1059,T1078"}
# Portainer 漏洞利用技能
- **产品**: Portainer (Docker/Kubernetes容器管理平台)
- **默认端口**: 9000 (HTTP), 9443 (HTTPS) | **识别**: `/api/status` 返回JSON | **FOFA**: `app="Portainer"`
## 漏洞总览
| 漏洞编号 | 影响版本 | 漏洞类型 | 利用条件 | 危害 |
|---------|---------|---------|---------|------|
| 默认/弱口令 | 全版本 | 认证突破 | 弱口令 | Critical |
| CVE-2024-29296 | CE 2.19.4 | 用户枚举(时间差) | 无需认证 | Medium |
| CVE-2018-12678 | <=1.17 | Request Splitting SSRF→RCE | 无需认证 | Critical |
| Docker API滥用 | 全版本 | 特权容器逃逸RCE | 需认证 | Critical |
## 利用决策树
```
1. 识别: GET /api/status → 确认Portainer
2. 认证突破:
├── 尝试默认凭据 admin/已知密码
├── CVE-2024-29296: 用户枚举确定有效用户名
└── 暴力破解密码
3. 认证后: JWT Token → 枚举端点 → 特权容器 → 挂载宿主机 → RCE
4. 未认证(老版本): CVE-2018-12678 → Request Splitting → Docker API → RCE
```
## 利用链优先级
```
1. 默认/弱口令 → JWT Token → Docker API → 特权容器 → RCE
2. CVE-2024-29296 用户枚举 → 定向暴力破解 → 同上
3. CVE-2018-12678 (仅<=1.17) → SSRF → Docker API → RCE
```
## 常用API端点
| 端点 | 用途 |
|------|------|
| `GET /api/status` | 系统状态/版本 |
| `POST /api/auth` | 登录认证 |
| `GET /api/endpoints` | Docker端点列表 |
| `POST /api/endpoints/{id}/docker/containers/create` | 创建容器 |
| `POST /api/endpoints/{id}/docker/containers/{cid}/start` | 启动容器 |
| `POST /api/endpoints/{id}/docker/containers/{cid}/wait` | 等待容器 |
## 特权容器逃逸方法论
**技术**: 通过Portainer Docker API创建特权容器，挂载宿主机文件系统，实现容器逃逸RCE。
- 利用 Docker API `/containers/create` 端点，创建特权模式容器
- 将宿主机根目录 `/` 以读写方式挂载到容器内
- 通过 `chroot` 切换到宿主机文件系统，命令直接作用于宿主机
- 需要已认证的JWT Token和可用的Docker端点
## 详细参考
- [认证后RCE API速查](references/post-auth-rce.md)
View on GitHub