search

Docker容器环境检测方法【代码】

参考资料：

Determining if a process runs inside lxc/Docker

http://stackoverflow.com/questions/20010199/determining-if-a-process-runs-inside-lxc-dockerarrow-up-right

hashtag
第1章 背景

现在有研究表明，人们目前有使用Docker进行恶意代码重现工作的倾向。Docker的反检测可分为三部分：CPU反检测，内存反检测和存储数据反检测。该技术利用了AUFS的层叠镜像技术，使得我们的Docker反检测技术可以很容易地实现在镜像的一层中——反检测层。这样，只需要将反检测层动态地部署到Docker容器中，即可实现对Container环境的CPU、内存和存储的封装，从而遮蔽掉Container特征。这样的话，该容器中的恶意代码也就无法检测其自身是否在Container中运行了。

hashtag
第2章 cgroup方法

在Host和Container中执行cat /proc/1/cgroup命令的结果是不同的，可以利用这一点进行判断。（或者cat /proc/self/cgroup命令也行）

在Host中执行cat /proc/1/cgroup命令的结果：

root@ubuntu:~
10:hugetlb:/
9:cpuset:/
8:memory:/
7:cpu,cpuacct:/
6:perf_event:/
5:blkio:/
4:net_cls,net_prio:/
3:freezer:/
2:devices:/
1:name=systemd:/

在Container中执行cat /proc/1/cgroup命令的结果：

hashtag
第3章 find docker方法

在Host和Container中的文件系统中，有关于docker的文件、目录有很大差别。因此可以通过枚举文件系统中关于docker的文件，进行判断。

在Host中执行find / -name docker命令的结果：

在Container中执行find / -name docker命令的结果：

hashtag
第4章 环境变量方法

在Host和Container中执行env命令查看环境变量的结果是不同的，可以利用这一点进行判断。（或者cat /proc/1/environ命令也可）

在Host中执行env命令的结果：

在Container中执行env命令的结果：

hashtag
第5章 Dropped capabilities方法

帖子上提到了：”Otherwise, if you are root, you can try to perform mknod or mount operation, if it fails, you are most likely in a container with dropped capabilities.”

hashtag
第6章 Mount方法（原创）

在Host和Container中执行mount命令的结果是不同的，可以利用这一点进行判断。

在Host中执行mount命令的结果：

在Container中执行mount命令的结果：

hashtag
第7章 设备文件方法（不成功）

在Host和Container中执行ls /dev命令的结果是不同的，可以利用这一点进行判断。

但是目前还没发现本质的不同点。

hashtag
第8章 文件系统方法

在Host和Container中执行df -h命令的结果是不同的，可以利用这一点进行判断。

在Host中执行df -h命令的结果：

其中，cgmanager是cgroup的管理器daemon，运行于root下。

在Container中执行df -h命令的结果：

上一页渗透思路调研下一页浏览器

最后更新于