跳到主要内容

Docker 容器逃逸防范

介绍​

Docker容器逃逸是指攻击者通过某种方式突破容器的隔离环境，获取宿主机的访问权限。容器逃逸可能导致严重的安全问题，例如数据泄露、系统破坏等。因此，理解容器逃逸的原理并采取有效的防范措施至关重要。

本文将逐步讲解容器逃逸的概念、常见攻击方式以及如何通过配置和最佳实践来防范这些攻击。

什么是容器逃逸？​

Docker容器通过Linux内核的命名空间（namespaces）和控制组（cgroups）实现资源隔离。然而，如果容器的配置不当或存在漏洞，攻击者可能利用这些漏洞突破隔离，访问宿主机或其他容器。

常见的容器逃逸方式包括：

  1. 特权容器：以特权模式运行的容器可以直接访问宿主机的资源。
  2. 挂载敏感目录：将宿主机的敏感目录（如 /、/proc）挂载到容器中。
  3. 内核漏洞利用：利用Linux内核的漏洞突破容器的隔离机制。

防范容器逃逸的最佳实践​

1. 避免使用特权模式​

特权模式（--privileged）会赋予容器几乎所有的宿主机权限，这是非常危险的。尽量避免使用特权模式，除非绝对必要。

bash
# 错误示例：以特权模式运行容器
docker run --privileged -it ubuntu bash

# 正确示例：以非特权模式运行容器
docker run -it ubuntu bash
警告

特权模式会禁用所有安全机制，使容器能够直接访问宿主机的设备和内核功能。

2. 限制挂载敏感目录​

将宿主机的敏感目录挂载到容器中可能会导致容器逃逸。例如，挂载 / 或 /proc 目录可能会让攻击者访问宿主机的文件系统。

bash
# 错误示例：挂载宿主机的根目录
docker run -v /:/host -it ubuntu bash

# 正确示例：仅挂载必要的目录
docker run -v /data:/app/data -it ubuntu bash
提示

使用 --read-only 参数可以将容器的文件系统设置为只读，进一步减少攻击面。

3. 使用用户命名空间​

用户命名空间（user namespaces）可以将容器内的 root 用户映射到宿主机上的非特权用户，从而限制容器的权限。

bash
# 启用用户命名空间
dockerd --userns-remap=default
备注

用户命名空间可以有效防止容器内的 root 用户对宿主机造成影响。

4. 更新内核和Docker版本​

容器逃逸通常依赖于内核或Docker的漏洞。定期更新内核和Docker版本可以修复已知漏洞，降低风险。

bash
# 更新Docker
sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io

5. 使用安全配置文件​

Docker提供了安全配置文件（seccomp profiles）和AppArmor/SeLinux策略，可以限制容器的系统调用和行为。

bash
# 使用自定义的seccomp配置文件
docker run --security-opt seccomp=/path/to/profile.json -it ubuntu bash
注意

默认的seccomp配置文件已经禁用了许多危险的系统调用，但可以根据需要进一步定制。

实际案例​

案例1：CVE-2019-5736漏洞​

CVE-2019-5736是一个著名的容器逃逸漏洞，攻击者可以通过恶意容器覆盖宿主机的 runc 二进制文件，从而获得宿主机权限。

防范措施：

  • 更新Docker到修复版本。
  • 避免以root用户运行容器。

案例2：挂载 /proc 目录导致逃逸​

如果容器挂载了 /proc 目录，攻击者可以通过修改 /proc/sys/kernel/core_pattern 文件实现逃逸。

防范措施：

  • 避免挂载 /proc 目录。
  • 使用 --read-only 参数限制文件系统写入。

总结​

容器逃逸是Docker安全中的一个重要问题，但通过合理的配置和最佳实践，可以显著降低风险。以下是关键点：

  1. 避免使用特权模式。
  2. 限制挂载敏感目录。
  3. 启用用户命名空间。
  4. 定期更新内核和Docker版本。
  5. 使用安全配置文件。

附加资源​

练习​

  1. 尝试以非特权模式运行一个容器，并测试其权限限制。
  2. 创建一个自定义的seccomp配置文件，禁用 execve 系统调用。
  3. 研究并复现一个已知的容器逃逸漏洞（仅用于学习目的）。

通过实践，你将更好地理解容器逃逸的原理和防范方法。