5 分钟快速上手 container-escape-check一键扫描 Docker 容器逃逸风险【免费下载链接】container-escape-checkdocker container escape check || Docker 容器逃逸检测项目地址: https://gitcode.com/gh_mirrors/co/container-escape-check容器逃逸是云原生安全中最严重的威胁之一——一旦攻击者从容器内部突破到宿主机整个集群都可能失守。container-escape-check 是一款开源的 Docker 容器逃逸检测工具它把容器内最常被利用的 15 类逃逸风险整合成一个脚本让你在容器里执行一条命令即可完成一键扫描快速判断当前容器是否存在逃逸风险。本文将带你 5 分钟完成首次容器逃逸检测。为什么需要 Docker 容器逃逸检测Docker 容器通过命名空间和 Cgroups 实现了资源隔离但隔离并不等于安全。以下场景都会让容器边界形同虚设配置不当容器以特权模式privileged运行或挂载了宿主机的/、/etc、/var/log等敏感目录端口暴露Docker 远程 API2375/2376 端口意外对外开放内核漏洞宿主机内核存在 DirtyCow、DirtyPipe 等已知逃逸漏洞️权限过宽容器持有 CAP_SYS_ADMIN、CAP_SYS_PTRACE 等危险 capabilities手动逐一排查这些风险项既繁琐又容易遗漏这正是 container-escape-check 的价值所在。container-escape-check 一键检测的 15 类逃逸风险脚本按配置风险 → 权限风险 → 内核漏洞三个维度全面扫描以下 15 类容器逃逸风险风险类别检测项高危配置特权模式、挂载 Docker Socket、挂载宿主机 Procfs、挂载宿主机根/et c 目录、开启 Docker 远程 API、挂载宿主机 /var/log危险权限CAP_DAC_READ_SEARCH、CAP_SYS_ADMIN、CAP_SYS_PTRACE内核漏洞CVE-2016-5195 DirtyCow、CVE-2020-14386、CVE-2022-0847 DirtyPipe、CVE-2017-1000112、CVE-2021-22555、CVE-2022-0492其中特权模式、Docker Socket 挂载等检查逻辑都封装在 container-escape-check.sh 中代码量很小方便安全人员二次定制。5 分钟上手一键扫描容器逃逸风险的操作步骤第一步进入待检测的 Docker 容器工具需要在容器内部运行它会通过检查/proc/1/cgroup判断当前环境是否真的是容器不是容器环境会直接退出。第二步获取并运行检测脚本克隆项目后执行脚本即可整个过程无需安装任何依赖git clone https://gitcode.com/gh_mirrors/co/container-escape-check cd container-escape-check chmod x container-escape-check.sh ./container-escape-check.sh如果容器内缺少capsh命令脚本会自动调用 apt-get/yum 完成安装无需手动干预安装逻辑见 container-escape-check.sh。第三步查看一键扫描结果如何解读容器逃逸检测结果从上面的运行截图可以看到脚本的输出非常有辨识度✅绿色[]前缀表示检测到逃逸风险例如privileged mode、Docker socket mounted、CVE-2016-5195 DirtyCow等风险项会逐条列出⚠️黄色[!]前缀表示环境提示信息如当前处于容器中、capsh 命令安装完成等 检测结束后输出Check completed若存在风险项即可定位到具体逃逸途径整体检测流程由 container-escape-check.sh 中的 main 函数顺序驱动15 项检测一次跑完结果一目了然。使用注意事项容器逃逸检测前必读⚠️ 脚本必须在 Docker 容器内运行在宿主机上直接执行会提示非容器环境并退出⚠️ 检测逻辑基于作者的安全经验整理可能存在误报或漏报建议结合实际情况综合判断⚠️ 部分逃逸方法需要结合 Docker 版本判断由于容器内难以获取宿主机 Docker 版本脚本暂未覆盖此类检测 详细使用说明可参考项目内的 README_ZH.md 文档小结container-escape-check 用一个小小的 Shell 脚本把 15 类 Docker 容器逃逸风险检测浓缩成一条命令是开发、运维和渗透测试人员做容器安全体检的便捷选择。无论你是安全新手还是老手花 5 分钟跑一次扫描就能对容器的逃逸风险心中有数。【免费下载链接】container-escape-checkdocker container escape check || Docker 容器逃逸检测项目地址: https://gitcode.com/gh_mirrors/co/container-escape-check创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考