📌写在前面

“Docker容器会被黑吗？”“容器逃逸是什么？”“Docker怎么安全配置？”

随着容器化部署的普及，Docker安全成为了云安全的重要分支。容器不是虚拟机，它共享宿主机内核，一旦容器被攻破，攻击者可能通过逃逸获取宿主机权限。

从恶意镜像到容器逃逸，从权限配置缺陷到K8s集群攻击，容器安全的攻击面比很多人想象的要大得多。

我第一次关注Docker安全是在一次渗透测试中，发现目标使用了Docker，通过一个配置不当的容器，利用Docker Socket挂载成功逃逸到了宿主机，拿到了root权限。那次经历让我意识到"容器不等于隔离"。

今天我把Docker容器安全的完整知识整理出来：镜像安全、运行时安全、逃逸漏洞、K8s安全、加固方案。看完这篇，你对容器安全会有一个系统化认知。

⚠️ 注意：本文仅用于安全教育和授权测试，严禁用于非法用途。

一、Docker安全基础

容器 vs 虚拟机

Docker安全机制

二、镜像安全

镜像安全风险

镜像扫描

# Trivy - 镜像漏洞扫描# 安装sudoaptinstalltrivy# 扫描镜像trivy image nginx:latest trivy image python:3.9-slim trivy image--severityHIGH,CRITICAL nginx:latest# 扫描文件系统trivy fs--severityHIGH,CRITICAL /path/to/app# 扫描Git仓库trivy repo https://github.com/user/repo

# Grype - 另一款镜像扫描工具grype nginx:latest grype-shigh,critical nginx:latest

Dockerfile安全最佳实践

# 不安全写法 FROM ubuntu:latest RUN apt-get update && apt-get install -y python3 COPY . /app RUN chmod +x /app/start.sh USER root CMD ["/app/start.sh"] # 安全写法 FROM python:3.9-slim AS builder # 使用非root用户 RUN groupadd -r appuser && useradd -r -g appuser appuser # 安装依赖 COPY requirements.txt . RUN pip install --no-cache-dir -r requirements.txt # 复制应用代码 COPY --chown=appuser:appuser . /app WORKDIR /app # 切换用户 USER appuser # 健康检查 HEALTHCHECK --interval=30s --timeout=3s CMD curl -f http://localhost:8080/ || exit 1 # 指定端口 EXPOSE 8080 # 启动命令 CMD ["python", "app.py"]

Dockerfile安全检查清单

三、容器运行时安全

Docker Socket风险

# 最危险的配置：挂载Docker Socketdockerrun-v/var/run/docker.sock:/var/run/docker.sock...# 这等于给了容器root权限# 攻击者可以通过Docker API控制宿主机# 检查是否挂载了Docker Socketdockerinspect<container>|grepdocker.sock

危险挂载

特权模式逃逸

# 特权模式容器逃逸# 如果容器以 --privileged 运行：dockerrun--privileged-itubuntu /bin/bash# 逃逸方法1：挂载宿主磁盘fdisk-lmkdir/mnt/hostmount/dev/sda1 /mnt/hostchroot/mnt/host# 逃逸方法2：利用cgroupmkdir/tmp/cgroupmount-tcgroup-ordma cgroup /tmp/cgroup# 创建cgroup通知echo1>/tmp/cgroup/rdma/cgroup/notify_on_release# 利用release_agent执行命令

Capabilities管理

# 查看默认Capabilitiesdockerrun--rm-it--cap-add=ALL ubuntu capsh--print# 危险Capabilities# CAP_SYS_ADMIN - 几乎等于root# CAP_SYS_MODULE - 可加载内核模块# CAP_SYS_PTRACE - 可调试进程# CAP_DAC_OVERRIDE - 可绕过文件权限# 安全做法：删除所有，只添加必要dockerrun --cap-drop=ALL --cap-add=NET_BIND_SERVICE...# 检查容器Capabilitiesdockerinspect<container>--format'{{.HostConfig.CapAdd}}'

安全运行配置

# 安全的Docker运行参数dockerrun\--read-only\# 只读根文件系统--cap-drop=ALL\# 删除所有权限--cap-add=NET_BIND_SERVICE\# 只添加必要权限--security-opt=no-new-privileges\# 禁止提权--security-opt=apparmor=docker-default\# AppArmor--memory=512m\# 内存限制--cpus=1\# CPU限制--pids-limit=100\# 进程数限制--network=internal\# 网络隔离--tmpfs/tmp\# 临时文件系统-u1000:1000\# 非root用户--restart=on-failure\# 重启策略myimage:latest

四、Docker逃逸漏洞

常见逃逸漏洞

CVE-2019-5736 利用

# runc逃逸漏洞# 利用条件：容器内能执行命令# 利用原理：覆盖宿主机runc二进制文件# POC（仅用于安全测试）#!/bin/bash# 覆盖runcpayload="#!/bin/bash cat /etc/shadow > /tmp/shadow.txt"echo"$payload">/bin/shchmod+x /bin/sh# 当宿主机执行docker exec时触发

逃逸检测

# 检查是否在容器中cat/proc/1/cgroup|grepdockerls/.dockerenv# 检查挂载mount|grep-E"docker.sock|/dev/sd|/proc|/sys"# 检查Capabilitiescat/proc/1/status|grepCap# 检查是否特权模式cat/proc/1/status|grep-icap_eff# 如果是0000003ffffffffff说明是特权模式

五、Kubernetes安全

K8s安全模型

┌─────────────────────────────────────┐ │ API Server │ │ (RBAC + 认证授权) │ ├─────────────────────────────────────┤ │ NetworkPolicy │ │ (网络隔离策略) │ ├─────────────────────────────────────┤ │ SecurityContext │ │ (Pod级安全上下文) │ ├─────────────────────────────────────┤ │ PodSecurityPolicy │ │ (Pod安全策略) │ └─────────────────────────────────────┘

常见K8s攻击

K8s安全配置

# 安全的Pod配置apiVersion:v1kind:Podmetadata:name:secure-podspec:securityContext:runAsNonRoot:true# 禁止rootrunAsUser:1000# 指定用户fsGroup:2000# 文件组containers:-name:appimage:app:1.0securityContext:allowPrivilegeEscalation:false# 禁止提权readOnlyRootFilesystem:true# 只读根目录runAsNonRoot:truecapabilities:drop:["ALL"]# 删除所有权限add:["NET_BIND_SERVICE"]resources:limits:memory:"512Mi"cpu:"1"requests:memory:"256Mi"cpu:"500m"readinessProbe:httpGet:path:/healthport:8080

NetworkPolicy配置

# 网络隔离策略apiVersion:networking.k8s.io/v1kind:NetworkPolicymetadata:name:deny-allnamespace:productionspec:podSelector:{}policyTypes:-Ingress-Egressingress:-from:-podSelector:matchLabels:app:frontendports:-protocol:TCPport:8080egress:-to:-namespaceSelector:matchLabels:name:databaseports:-protocol:TCPport:5432

六、Docker安全加固

Docker Daemon配置

// /etc/docker/daemon.json{"icc":false,// 禁止容器间通信"no-new-privileges":true,// 禁止提权"userns-remap":"default",// 用户命名空间映射"live-restore":true,// 优雅重启"max-concurrent-downloads":10,"max-concurrent-uploads":10,"log-driver":"json-file","log-opts":{"max-size":"10m","max-file":"3"},"storage-driver":"overlay2","selinux-enabled":true,// 启用SELinux"userland-proxy":false}

Docker Bench安全审计

# Docker Bench for Security - 安全审计工具dockerrun--rm--nethost--pid--usernshost--cap-add SYS_ADMIN\-v/etc:/etc:ro\-v/var/lib:/var/lib:ro\-v/var/run/docker.sock:/var/run/docker.sock:ro\-v/usr/lib/systemd:/usr/lib/systemd:ro\-v/etc:/etc:ro\docker/docker-bench-security# 检查项包括：# 1. 宿主机配置# 2. Docker Daemon配置# 3. Docker镜像配置# 4. 容器运行配置# 5. Docker安全操作

安全Checklist

七、容器安全工具

Falco运行时监控

# Falco规则示例-rule:Shell Spawned in Containerdesc:A shell was spawned in a containercondition:>spawned_process and container and proc.name in (bash, sh, zsh, ash, dash)output:>Shell spawned in container (user=%user.name container_id=%container.id container_name=%container.name shell=%proc.name)priority:WARNING-rule:Contact Unknown Endpointdesc:Container contacted unknown endpointcondition:>outbound and container and not fd.sip in (allowed_ips)output:>Container contacted unknown endpoint (container=%container.name ip=%fd.sip)priority:ERROR

学习资源

Docker和容器安全是云安全领域的重要分支。随着企业容器化转型的深入，容器安全人才需求越来越大。从镜像扫描到运行时监控，从逃逸防护到K8s安全，容器安全覆盖了从开发到运维的完整链路。

掌握容器安全需要对Linux内核、Docker架构、K8s体系有深入理解。建议在实验环境中搭建Docker和K8s集群，实际操作各种安全配置和逃逸场景。

如果你对容器安全和云安全感兴趣，想系统学习更多知识——包括Docker安全、K8s攻防、云原生安全、CTF实战等——可以参考下面整理的完整学习资料包。

内容涵盖：

1. Docker容器安全实战
   

2. Kubernetes安全攻防
   

3. 云原生安全技术
   

4. Linux内核与安全机制
   

5. 红蓝对抗与护网资料
   

6. CTF比赛专项训练
   

7. Python安全编程实战
   

8. 渗透测试全流程
   

9. 应急响应实战手册
   

10. 网络安全合规指南
    
    

从零基础到实战进阶，200+节视频课程，配套工具和靶场环境，涵盖攻防对抗全生命周期。

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源

总结

🔒 容器安全的核心原则：最小权限 + 纵深防御 + 持续监控。容器不是安全的默认配置，安全需要你主动构建。

————————————————