Docker 容器入侵排查

随着越来越多的应用程序运行在容器里，各种容器安全事件也随之发生，例如攻击者可以通过容器应用获取容器控制权，利用失陷容器进行内网横向，并进一步逃逸到宿主机甚至攻击K8s集群。

容器的运行环境是相对独立而纯粹，当容器遭受攻击时，急需对可疑的容器进行入侵排查以确认是否已失陷，并进一步进行应急处理和溯源分析找到攻击来源。在应急场景下，使用docker命令可以最大程度利用docker自身的特性，快速的获取相关信息而无需进入容器内部，帮助我们进行溯源分析和解决问题。

 1.1 检查容器运行情况

使用docker ps  查看当前运行的容器，创建时间、运行状态、端口映射。

[root@ecs-t /]# docker ps
CONTAINER ID   IMAGE                          COMMAND                  CREATED             STATUS             PORTS                          NAMES
b06352ff26cc   sagikazarmark/dvwa             "/run.sh"                About an hour ago   Up About an hour   3306/tcp, 0.0.0.0:81->80/tcp   dvwa

1.2 检查运行容器详细信息

使用docker inspect来获取容器的详细信息。

//获取容器名
docker inspect -f {{.Name}}  dvwa  

 //获取容器网络的相关信息
docker inspect -f {{.NetworkSettings}} dvwa   
docker inspect -f {{.NetworkSettings.IPAddress}} dvwa 

//目录在宿主机的具体挂载位置
docker inspect -f="{{json .Mounts}}" dvwa   
docker inspect -f "{{range .Mounts}} {{println .Source .Destination}} {{end}}" dvwa

1.3 检查容器资源的使用情况

使用docker stats 查看容器的CPU、内存、网络 I/O等情况，以确认是否存在资源异常的情况。

[root@ecs-t /]# docker stats dvwa

CONTAINER ID   NAME      CPU %     MEM USAGE / LIMIT     MEM %     NET I/O           BLOCK I/O         PIDS
b06352ff26cc   dvwa      0.00%     76.21MiB / 3.686GiB   2.02%     23.6kB / 57.6kB   24.1MB / 67.7MB   27

1.4 检查容器中进程信息

使用docker top 查看容器中的进程信息，通过PID/PPID/CMD等信息来辅助定位异常进程。

如下图：java父进程（PID:84010）触发bash反弹shell的子进程（PID:84281）。

1.5  查看容器中日志

使用docker logs查看容器日志，并通过关键字定位异常信息位置。

如下图：通过特征关键字找到可疑的jndi请求。

1.6 查看容器中的文件变化

使用docker diff命令可以找出容器内文件状态变化。备注：三种状态（A - Add, D - Delete, C - Change ）。

如下图：通过新增文件目录快速定位webshell文件。

1.7 失陷容器应急处理

确认容器失陷后，一般我们可以采取暂停容器、隔离容器甚至杀死容器的方式来做紧急处理。

（1）使用docker pause，暂停容器中所有的进程。

（2）使用docker commit，用于将被入侵的容器来构建镜像，从而保留现场痕迹，以便溯源。

（3）将正在运行的Docker容器禁用网络。

//将运行中的容器与用户定义的网桥断开连接
[root@localhost ~]#docker network disconnect bridge <container-name>

//禁用veth
[root@localhost ~]#docker exec -it <container-name> cat /sys/class/net/eth0/iflink
29
[root@localhost ~]#ip link show |grep 29
29: vethbf5239e@if28: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue masteefault 
[root@localhost ~]# ip link set vethbf5239e down

（4）使用docker kill 杀掉运行中的容器。

docker kill -s KILL <container-name>