学习目录：Docker 容器安全攻防
这部分属于 云原生安全（Cloud Native Security） 下的 容器逃逸（Container Escape） 方向。
学习路线图
第一阶段：Linux 隔离机制（必学基础）
↓
第二阶段：Docker 架构与组件（理解攻击面）
↓
第三阶段：容器逃逸攻击（你老师讲的在这里）
↓
第四阶段：防御与加固（生产怎么防）第一阶段：Linux 隔离机制（2-3天）
这是所有容器逃逸的底层原理，不懂这个，后面全是死记硬背。
| 知识点 | 为什么要学 | 学习重点 |
|---|---|---|
| Linux Namespace | 容器隔离的核心 | PID/NET/MNT/UTS/IPC/USER 各自隔了什么 |
| Cgroup | 资源限制 | cpu/memory/blkio 怎么限制容器 |
| Capability | 权限控制 | 为什么 root 在容器里不等于宿主机 root |
| OverlayFS | 容器文件系统 | 容器层和宿主机层的关系（你老师那个 overlay2 路径就是这个） |
| /proc 文件系统 | 内核接口 | /proc/self/status、/proc/sys/ 怎么读写内核参数 |
| Seccomp / AppArmor | 系统调用过滤 | 容器默认挡了哪些危险调用 |
推荐资源：
- 《容器从入门到实战》前几章
- 搜 "Linux Namespace 原理图解"
第二阶段：Docker 架构（1-2天）
| 知识点 | 重点 |
|---|---|
| Docker Daemon 架构 | 守护进程、API、Socket 位置 |
| 镜像分层 | Dockerfile 每层干了什么 |
| 容器运行时 | 容器启动后在宿主机上到底是什么进程 |
Docker Socket (/var/run/docker.sock) |
为什么挂载它等于 root |
特权模式 (--privileged) |
给了容器什么能力 |
挂载机制 (-v) |
哪些挂载危险，为什么 |
第三阶段：容器逃逸攻击（核心，5-7天）
这是你老师讲的内容所在的阶段。分 4 条路径：
路径一：特权模式逃逸（最简单）
| 知识点 | 说明 |
|---|---|
--privileged 的本质 |
给容器所有 Capability + 关闭 AppArmor |
| 挂载宿主机磁盘 | mount /dev/sda1 /mnt → 直接读宿主机文件 |
| 写宿主机 crontab | 在宿主机上写定时反弹 shell |
| 检测方法 | cat /proc/self/status 看 CapEff 是否全 F |
路径二：危险挂载逃逸（你老师讲的就是这个）
| 知识点 | 说明 |
|---|---|
挂载 /proc |
容器能改宿主机内核参数 → core_pattern 注入 |
挂载 /var/run/docker.sock |
容器内装 docker cli → 控制宿主机 daemon |
挂载 / 根目录 |
直接访问宿主机全部文件 |
挂载 /dev |
访问宿主机设备 |
挂载 /sys |
修改内核参数 |
你老师演示的
core_pattern属于这条路径的子技术。
路径三：Docker Socket 逃逸（最常考）
容器内挂载了 /var/run/docker.sock
↓
容器内执行 docker run -v /:/host alpine
↓
新容器挂载了宿主机根目录
↓
逃逸成功| 知识点 | 说明 |
|---|---|
| 为什么 socket = root | Docker API 无认证时，调 API 等于调宿主机 |
| 利用工具 | docker-escape、cdk（Container Escape Kit） |
| 检测方法 | 检查容器启动参数有没有 -v /var/run/docker.sock |
路径四：内核漏洞逃逸（最难）
| 知识点 | 说明 |
|---|---|
| Dirty COW | 写时复制漏洞，容器内提权 |
| CVE-2022-0185 | 内核漏洞，容器逃逸到宿主机 |
| 运行时漏洞 | containerd/runc 的漏洞 |
第四阶段：防御与加固（2-3天）
| 防御点 | 做法 |
|---|---|
不用 --privileged |
用 --cap-add 只加需要的能力 |
不挂载 /proc /sys /docker.sock |
或者只读挂载 |
| 非 root 运行 | Dockerfile 最后加 USER nobody |
| Distroless 镜像 | 没有 shell，被入侵也跑不了命令 |
| 多阶段构建 | 编译阶段和运行阶段分离 |
| 镜像扫描 | Trivy / Grype 集成到 CI |
| Docker API 加 TLS 认证 | 防止 2375 端口未授权访问 |
| Seccomp 配置 | 限制容器能调用的系统调用 |
| AppArmor / SELinux | 强制访问控制 |
你现在应该从哪开始
你已经看到了 core_pattern 反弹 shell，说明你已经接触了路径二。
建议顺序：
1. 先搞懂 Linux Namespace + Capability（1天）
↓
2. 再理解 Docker Socket 逃逸（1天）← 这个最实用
↓
3. 然后理解 core_pattern /proc 挂载逃逸（你老师讲的）（1天）
↓
4. 最后学防御（1天）一句话总结这门课的知识定位
云原生安全 → 容器逃逸 → 属于红队/渗透测试中的"内网横向移动"技术栈
学完这套，你能看懂 CTF 里的容器题，也能在工作中做容器安全审计。