容器逃逸攻击面分析：从capabilities到内核共享

容器逃逸攻击面分析：从capabilities到内核共享

容器逃逸是所有容器安全研究中优先级最高的问题——一旦攻击者从容器中逃逸到宿主机，整个集群就沦陷了。逃逸技术可分为四类：特权容器滥用——--privileged标志授予容器所有Linux Capabilities和访问所有设备，攻击者可以直接挂载宿主机磁盘。Capability滥用——即使非特权容器，CAP_SYS_ADMIN足以执行mount并加载内核模块，CAP_DAC_READ_SEARCH允许绕过文件权限检查。

内核漏洞——容器与宿主机共享同一个Linux内核，任何内核提权漏洞（Dirty Pipe、Dirty COW）在容器中同样可被利用。这是最难防御的一类，因为攻击发生在内核层。配置错误——/var/run/docker.sock被挂载进容器，攻击者在容器内就可以通过Docker API启动一个挂载宿主机根文件系统的新容器。防御清单：永远不使用–privileged；按最小Capabilities原则配置；确保宿主机内核及时打补丁；绝对不挂载docker.sock到容器内部。