分类:云与容器安全

• Docker逃逸原理与实战：从docker.socket到Cgroup的完整攻击链

  2026/8/6 · 云与容器安全 · 0 次阅读

  系统梳理8种Docker逃逸技术的底层原理：挂载docker.socket控制宿主、Cgroup发布者Notification漏洞、特权容器/dev/mknod、/proc/1/mem读写、sysfs滥用、User Namespace绕过，附带每一种方法的可执行PoC和防御加固清单。

  #Cgroup #Docker逃逸 #docker.socket #内核漏洞 #容器安全 #特权容器

  阅读全文 →

• Docker镜像溯源与恶意镜像检测：从Layer到供应链的完整审计链

  2026/8/6 · 云与容器安全 · 0 次阅读

  深入拆解 Docker 镜像的 OCI 规范、Layer 文件结构、manifest 签名机制，手把手演示用 Trivy/Cosign/Syft 做镜像扫描与溯源，包含篡改的恶意镜像构建 PoC 和 SBOM 生成校验全流程。

  #Cosign #Docker镜像 #SBOM #供应链安全 #恶意镜像检测 #镜像溯源

  阅读全文 →

• Kubernetes 安全基石：RBAC/ServiceAccount/Secret 的致命配置缺陷与修复

  2026/8/6 · 云与容器安全 · 1 次阅读

  深度拆解 K8s 认证授权模型，通过真实 YAML 演示过宽 RBAC、滥用 ServiceAccount、Secret 泄露的攻击路径，给出最小权限加固矩阵和 kubesec/kubescape 自动化检测脚本。

  #K8s安全 #Kubernetes #RBAC #Secret #ServiceAccount #权限控制

  阅读全文 →

• K8s 渗透攻击全路径：从一个普通 Pod 到接管整个集群的 12 步

  2026/8/6 · 云与容器安全 · 0 次阅读

  模拟真实攻击者视角，走完从初始访问→权限提升→横向移动→数据窃取→集群接管的完整 Kill Chain，每一步附带 kubectl/Python/Rust 可执行 PoC 和对应的检测规则。

  #ATT&CK #K8s渗透 #Kubernetes #Pod逃逸 #渗透攻击 #集群攻击

  阅读全文 →

• 容器网络安全：从 Overlay 漏洞到 Service Mesh 零信任的完整防护体系

  2026/8/6 · 云与容器安全 · 0 次阅读

  深入拆解 Docker Bridge、Flannel VXLAN、Calico BGP、Cilium eBPF 四种主流容器网络的攻击面，演示 ARP 欺骗、VXLAN 劫持、BGP 投毒、Service Mesh sidecar 逃逸等真实 PoC，给出 Service Mesh 零信任微隔离方案。

  #CNI #Cilium #Istio #Overlay #Service Mesh #eBPF #容器网络

  阅读全文 →