Docker 容器逃逸防范
介绍
Docker容器逃逸是指攻击者通过某种方式突破容器的隔离环境，获取宿主机的访问权限。容器逃逸可能导致严重的安全问题，例如数据泄露、系统破坏等。因此，理解容器逃逸的原理并采取有效的防范措施至关重要。
本文将逐步讲解容器逃逸的概念、常见攻击方式以及如何通过配置和最佳实践来防范这些攻击。
什么是容器逃逸？
Docker容器通过Linux内核的命名空间（namespaces）和控制组（cgroups）实现资源隔离。然而，如果容器的配置不当或存在漏洞，攻击者可能利用这些漏洞突破隔离，访问宿主机或其他容器。
常见的容器逃逸方式包括：
- 特权容器：以特权模式运行的容器可以直接访问宿主机的资源。
- 挂载敏感目录：将宿主机的敏感目录（如
/、/proc）挂载到容器中。 - 内核漏洞利用：利用Linux内核的漏洞突破容器的隔离机制。
防范容器逃逸的最佳实践
1. 避免使用特权模式
特权模式（--privileged）会赋予容器几乎所有的宿主机权限，这是非常危险的。尽量避免使用特权模式，除非绝对必要。
# 错误示例：以特权模式运行容器
docker run --privileged -it ubuntu bash
# 正确示例：以非特权模式运行容器
docker run -it ubuntu bash
特权模式会禁用所有安全机制，使容器能够直接访问宿主机的设备和内核功能。
2. 限制挂载敏感目录
将宿主机的敏感目录挂载到容器中可能会导致容器逃逸。例如，挂载 / 或 /proc 目录可能会让攻击者访问宿主机的文件系统。
# 错误示例：挂载宿主机的根目录
docker run -v /:/host -it ubuntu bash
# 正确示例：仅挂载必要的目录
docker run -v /data:/app/data -it ubuntu bash
使用 --read-only 参数可以将容器的文件系统设置为只读，进一步减少攻击面。
3. 使用用户命名空间
用户命名空间（user namespaces）可以将容器内的 root 用户映射到宿主机上的非特权用户，从而限制容器的权限。
# 启用用户命名空间
dockerd --userns-remap=default
用户命名空间可以有效防止容器内的 root 用户对宿主机造成影响。
4. 更新内核和Docker版本
容器逃逸通常依赖于内核或Docker的漏洞。定期更新内核和Docker版本可以修复已知漏洞，降低风险。
# 更新Docker
sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io
5. 使用安全配置文件
Docker提供了安全配置文件（seccomp profiles）和AppArmor/SeLinux策略，可以限制容器的系统调用和行为。
# 使用自定义的seccomp配置文件
docker run --security-opt seccomp=/path/to/profile.json -it ubuntu bash
默认的seccomp配置文件已经禁用了许多危险的系统调用，但可以根据需要进一步定制。
实际案例
案例1：CVE-2019-5736漏洞
CVE-2019-5736是一个著名的容器逃逸漏洞，攻击者可以通过恶意容器覆盖宿主机的 runc 二进制文件，从而获得宿主机权限。
防范措施：
- 更新Docker到修复版本。
- 避免以root用户运行容器。
案例2：挂载 /proc 目录导致逃逸
如果容器挂载了 /proc 目录，攻击者可以通过修改 /proc/sys/kernel/core_pattern 文件实现逃逸。
防范措施：
- 避免挂载
/proc目录。 - 使用
--read-only参数限制文件系统写入。
总结
容器逃逸是Docker安全中的一个重要问题，但通过合理的配置和最佳实践，可以显著降低风险。以下是关键点：
- 避免使用特权模式。
- 限制挂载敏感目录。
- 启用用户命名空间。
- 定期更新内核和Docker版本。
- 使用安全配置文件。
附加资源
练习
- 尝试以非特权模式运行一个容器，并测试其权限限制。
- 创建一个自定义的seccomp配置文件，禁用
execve系统调用。 - 研究并复现一个已知的容器逃逸漏洞（仅用于学习目的）。
通过实践，你将更好地理解容器逃逸的原理和防范方法。