搜索

[23996] 2015-06-16_有人说DockerHub上三成的镜像包含漏洞？是吗？

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-18
2015-06-16_有人说DockerHub上三成的镜像包含漏洞？是吗？ 有 人 说 D o c k e r   H u b 上 三 成 的 镜 像 包 含 漏 洞 ？ 是 吗 ？ L i n u x 中 国   2 0 1 5 - 0 6 - 1 6 【 编 者 的 话 】 到 底 D o c k e r   H u b 上 是 否 三 成 的 镜 像 存 在 漏 洞 ？ 通 过 漏 洞 计 算 发 现 确 实 有 高 比 例 漏 洞 ， 对 于 官 方 镜 像 遵 循 D o c k e r 的 安 全 指 南 ， 如 若 是 自 创 建 镜 像 ， 可 找 源 仓 库 或 自 行 处 理 。 但 我 们 发 现 ， 这 些 漏 洞 中 大 部 分 是 老 镜 像 。 面 对 漏 洞 镜 像 ， 我 们 可 以 采 取 本 地 措 施 ， 还 可 用 W e b 安 全 审 查 进 行 检 查 ， 如 果 想 让 D o c k e r 更 加 安 全 ， 建 议 用 d o c k e r b e n c h 来 评 估 。 文 中 额 外 阐 述 了 容 器 究 竟 有 什 么 用 。 这 个 数 字 太 神 奇 了 ！ 并 不 是 因 为 这 个 比 例 过 高 或 者 过 低 ， 而 是 因 为 居 然 存 在 这 个 比 例 。 既 然 存 在 （ 相 对 容 易 地 ） 计 算 出 这 个 比 例 的 可 能 性 ， 也 就 意 味 着 存 在 （ 相 对 容 易 地 ） 改 善 这 个 比 例 的 可 能 性 。 声 明 ： 我 是 D o c k e r 官 方 人 员 ， 然 而 我 写 这 篇 文 章 并 未 受 到 公 司 批 准 ， 所 以 最 好 带 着 批 判 的 思 维 来 读 本 文 。 这 个 数 字 来 源 于 B a n y a n O p s 的 博 客 。
漏 洞 的 计 算 首 先 ， 来 看 看 怎 么 才 能 计 算 出 原 文 中 的 数 据 。 这 过 程 比 较 简 单 ： 获 取 D o c k e r 注 册 表 的 一 个 列 表 下 载 列 表 中 的 镜 像 检 查 镜 像 中 的 漏 洞 这 步 骤 看 起 来 似 乎 太 简 单 ， 我 们 稍 微 深 入 下 细 节 。 列 举 镜 像 列 举 官 方 的 镜 像 是 容 易 的 。 这 些 镜 像 是 基 于 一 个 叫 b a s h b r e w 的 自 动 化 系 统 构 建 而 来 的 ， 使 用 的 都 是 公 布 于 众 的 方 法 。 顺 便 一 提 ， 这 意 味 着 如 果 你 想 重 建 官 方 的 镜 像 ， 做 起 来 也 会 很 容 易 。 （ 记 住 那 些 方 法 中 涉 及 一 些 b l o b s 或 者 t a r 包 ， 是 在 启 动 的 时 候 用 到 的 ； 因 而 有 时 你 要 多 费 一 点 力 ， 重 建 这 些 b l o b s 或 者 t a r b a l ） 。 构 建 官 方 镜 像 的 方 法 在 G i t h u b 上 的 d o c k e r - l i b r a r y 仓 库 可 以 找 到 。 要 列 出 其 他 的 镜 像 （ 即 属 非 官 方 的 用 户 和 机 构 所 有 的 镜 像 ） 要 困 难 点 。 D o c k e r   H u b 目 前 没 有 提 供 什 么 方 法 来 列 举 他 们 ， 所 以 一 个 暂 时 可 行 的 方 法 是 搜 索 一 个 十 分 宽 泛 的 关 键 字 ， 然 后 对 其 结 果 进 行 提 取 。 当 然 ， 这 需 要 一 些 抓 取 的 工 作 ； 抓 取 到 的 结 果 可 能 会 漏 掉 一 些 用 户 的 数 据 ， 但 是 你 拿 到 的 结 果 已 经 会 十 分 接 近 了 。 （ 虽 然 这 么 做 肯 定 可 行 ，   我 也 听 说 新 的 注 册 表 接 口 有 一 些 十 分 好 的 特 性 ， 可 以 让 这 一 步 完 成 起 来 容 易 点 ） 。 下 载 镜 像 下 载 镜 像 是 一 个 繁 琐 的 任 务 。 如 果 你 想 安 安 静 静 的 做 这 件 事 情 ， 运 行 一 个 d o c k e r 的 守 护 者 进 程 ， 然 后 执 行 即 可 。 如 果 你 想 拿 到 容 器 的 文 件 系 统 的 一 个 t a r 包 ， 也 很 容 易 ： 只 需 要 运 行 就 行 。 （ 记 得 把 标 准 输 出 重 定 向 到 其 他 地 方 ， 否 则 你 的 终 端 会 抓 狂 的 ） 如 果 你 不 十 分 相 信 D o c k e r 的 守 护 者 进 程 ， 你 可 以 检 查 r e g i s t r y 的 接 口 （ v 1 ， v 2 ） 并 且 通 过 接 口 来 下 载 层 ， 然 后 把 层 文 件 重 组 成 镜 像 文 件 。 一 些 细 节 我 想 留 给 你 自 己 去 做 ， 但 是 层 文 件 只 是 普 通 的 t a r 包 ， 你 只 需 要 在 彼 此 之 上 解 包 （ 需 要 保 持 正 确 的 顺 序 ） 就 可 以 重 组 成 镜 像 文 件 。 没 有 什 么 特 别 难 的 步 骤 ； 唯 一 需 要 留 心 的 地 方 就 是 “ 留 白 ” ( w h i t e o u t ) 。 “ 留 白 ” 是 特 殊 的 标 记 文 件 ， 用 来 表 明 “ 此 处 曾 经 有 文 件 存 在 于 此 ， 但 目 前 没 有 了 ” 。 换 句 话 说 ， 如 果 一 个 层 包 含 文 件 ， 但 是 之 上 的 层 把 其 删 除 了 ， 上 一 层 就 会 包 含 一 个 文 件 ， 并 且 不 会 出 现 在 容 器 里 面 。 这 个 文 件 相 当 于 被 留 白 文 件 加 上 了 蒙 板 。 我 后 来 发 现 ， 了 不 起 的 T i a n o n 已 经 为 此 写 好 了 一 个 脚 本 ， 如 果 感 兴 趣 你 可 以 去 看 看 。 检 查 镜 像 d o c k e r   p u l l   u s e r n a m e / i m a g e n a m e : t a g d o c k e r   e x p o r t   u s e r n a m e / i m a g e n a m e : t a g / e t c / f o o . c o n f / e t c / . w h . f o o . c o n f f o o . c o n f
在 这 个 阶 段 你 有 几 件 事 情 需 要 做 。 细 节 繁 琐 ， 本 文 无 法 全 部 叙 述 ； 但 是 在 一 个 全 面 的 安 全 检 查 中 ， 下 面 这 些 步 骤 你 可 能 需 要 做 ： 运 行 或 者 类 似 的 命 令 ， 保 证 在 此 刻 没 有 安 全 更 新 ； 或 者 更 好 的 做 法 是 ： 列 举 出 所 有 安 装 的 包 及 其 版 本 ， 然 后 检 查 软 件 包 在 该 版 本 是 否 包 含 漏 洞 ； 计 算 系 统 中 的 每 一 个 文 件 的 h a s h 值 ， 然 后 去 跟 已 知 的 有 漏 洞 的 文 件 的 h a s h 集 合 去 做 比 较 ； 执 行 自 动 化 工 具 （ 如 ） 寻 找 可 疑 的 文 件 ； 运 行 一 定 数 量 的 专 门 为 某 些 漏 洞 而 打 造 的 漏 洞 测 试 。 这 些 测 试 的 目 标 是 尝 试 利 用 某 些 漏 洞 ， 然 后 告 诉 你 ， “ 你 的 系 统 有 漏 洞 ， 因 为 我 已 经 设 法 利 用 了 这 个 漏 洞 ” 或 者 “ 我 无 法 利 用 这 个 漏 洞 ， 所 以 你 的 系 统 很 可 能 没 有 此 漏 洞 ” 。 事 情 到 了 容 器 的 环 境 中 变 得 很 有 趣 ， 因 为 用 D o c k e r 来 自 动 化 这 些 步 骤 容 易 且 便 捷 。 例 如 ， 你 可 以 将 你 的 漏 洞 分 析 工 具 包 放 在 中 ， 然 后 对 于 每 一 个 镜 像 ， 执 行 。 （ 注 意 ： 这 里 假 设 你 的 工 具 包 是 静 态 链 接 并 且 / 或 者 是 自 包 含 的 ， 如 不 依 赖 你 容 器 镜 像 中 的 任 何 地 方 ， 因 为 这 又 可 能 让 你 的 工 具 包 收 到 蒙 骗 。 我 这 里 主 要 想 说 的 是 ， 如 果 你 想 用 一 系 列 的 测 试 来 检 查 你 的 容 器 镜 像 ， 你 可 以 用 容 器 让 这 个 步 骤 变 得 很 简 单 ， 并 且 整 个 过 程 会 更 加 的 快 速 ， 因 为 对 于 每 一 个 测 试 你 不 需 要 单 独 做 一 个 检 查 的 机 器 的 拷 贝 ） 提 升 指 标 那 么 在 我 们 运 行 完 这 些 测 试 ， 然 后 发 现 出 奇 高 比 例 的 镜 像 包 含 有 漏 洞 的 包 。 我 们 怎 么 来 改 善 这 个 指 标 呢 ？ 对 于 官 方 的 镜 像 ， 最 容 易 的 方 法 是 遵 循 D o c k e r 的 安 全 指 南 。 以 后 随 着 官 方 镜 像 数 的 增 长 ， D o c k e r 也 会 改 善 这 个 机 制 ， 达 到 自 动 提 示 官 方 镜 像 的 上 游 安 全 列 表 的 效 果 。 对 于 非 官 方 的 镜 像 ， 你 可 以 检 查 镜 像 中 的 字 段 ： $   d o c k e r   i n s p e c t   - - f o r m a t   ' { { . A u t h o r } } '   b i n / n g r e p J e r o m e   P e t a z z o n i   < j e r o m e @ d o c k e r . c o m > 如 果 该 镜 像 是 自 动 构 建 出 来 的 ， 你 可 以 找 到 其 来 源 的 仓 库 ， 并 且 直 接 联 系 他 们 。 如 果 你 直 接 受 到 了 漏 洞 的 影 响 ， 想 事 情 进 展 的 更 加 快 速 ， 你 可 以 自 己 重 建 镜 像 ， 并 且 / 或 者 研 究 怎 么 才 能 修 复 这 个 漏 洞 ， 然 后 提 交 一 个 包 含 相 应 修 复 的 P R 。 这 里 的 意 图 不 是 把 安 全 的 责 任 推 卸 到 镜 像 的 使 用 者 身 上 ， 而 是 让 有 意 愿 和 有 能 力 修 复 这 些 漏 洞 的 人 能 对 D o c k e r 镜 像 的 安 全 做 贡 献 。 在 将 来 ， 这 些 步 骤 会 完 善 ， 并 且 流 式 化 。 会 有 自 动 化 的 过 程 构 建 出 来 减 少 需 要 联 系 相 关 机 构 的 烦 琐 ， 然 后 尽 量 降 低 发 布 包 含 漏 洞 补 丁 版 本 的 时 间 。 y u m - s e c u r i t y c h k r o o t k i t / t m p / t o o l k i t $ I d o c k e r   r u n   - v   / t m p / t o o l k i t : / t o o l k i t   $ I   / t o o l k i t / r u n a l l . s h A u t h o r
但 是 3 0 % 还 是 太 高 了 ， 对 不 对 ？ 3 0 % 的 “ 有 漏 洞 的 镜 像 ” 可 能 听 起 来 非 常 多 。 我 第 一 次 听 到 也 是 这 么 想 。 但 是 如 果 你 细 看 ， 你 会 发 现 其 中 一 大 部 分 的 镜 像 是 老 的 镜 像 ， 它 们 是 _ _ 故 意 不 被 更 新 _ _ 的 。 什 么 ？ _ _ 故 意 不 被 更 新 _ _ ? 是 的 ， 并 且 对 此 有 一 些 好 的 解 释 。 第 一 个 是 （ 其 中 的 一 部 分 ） 照 顾 其 他 的 媒 介 。 有 的 发 行 版 想 想 在 C D / D V D ， 网 络 安 装 ， V M 镜 像 ， 和 容 器 都 保 持 一 致 。 第 二 个 原 因 是 （ 这 也 解 释 了 第 一 个 原 因 ） 可 重 复 的 构 建 。 设 想 你 有 一 个 服 务 器 跑 着 1 2 . 0 4 ， 但 是 你 用 一 个 新 的 U b u n t u   1 2 . 0 4 的 版 本 （ 更 别 提 1 4 . 0 4 ） 却 重 现 不 出 来 。 在 更 加 深 入 的 研 究 后 发 现 ， 这 个 问 题 只 存 在 于 那 些 在 某 特 定 时 间 安 装 的 机 器 ， 其 版 本 是 1 2 . 0 4 . 0 2 。 如 果 一 个 容 器 镜 像 有 1 2 . 0 4 . 0 2 的 版 本 ， 你 可 以 重 现 出 这 个 b u g ； 否 则 ， 你 得 从 其 他 地 方 得 到 这 个 特 定 版 本 。 这 就 是 为 什 么 D o c k e r   H u b 有 很 多 老 的 镜 像 ， 它 们 保 持 着 发 行 时 的 状 态   -   同 时 包 含 当 时 发 行 时 的 安 全 问 题 。 尽 管 这 么 说 ， 我 们 已 经 放 置 了 安 全 警 示 说 “ 历 史 的 镜 像   -   保 持 远 离 ” ， 所 以 我 们 比 较 希 望 这 些 镜 像 在 计 算 出 这 些 安 全 的 指 标 的 时 候 不 应 该 被 包 含 进 去 。 让 我 们 希 望 下 次 有 人 在 计 算 安 全 指 标 的 时 候 他 们 能 意 识 到 这 一 点 。 在 本 地 采 取 措 施 我 们 可 能 跑 着 有 漏 洞 的 镜 像 ！ 求 救 ！ 怎 么 办 ， 怎 么 办 ？ 事 情 没 有 其 看 起 来 那 么 糟 。 当 你 （ 或 者 其 他 人 ） 做 完 对 于 这 些 镜 像 （ 官 方 的 ， 公 开 的 ， 私 有 的 ） 的 审 查 ， 结 果 是 一 个 镜 像 的 列 表 （ 以 一 个 唯 一 的 h a s h 串 ） ， 并 且 包 含 “ P A S S ” 或 者 “ F A I L ” 的 状 态 。 （ 对 于 “ F A I L ” 的 镜 像 ， 你 可 能 想 知 道 一 些 其 为 何 不 通 过 的 细 节 ， 如 ： “ 好 像 有 S h e l l S h o c k / C V E - 2 0 1 4 - 7 1 8 7 和 其 他 漏 洞 ” 或 者 “ 包 含 软 件 包 O p e n S S L   1 . 0 . 1 c   /   C V E - 2 0 1 4 - 0 1 6 0 ” 。 ） W e b 规 模 的 安 全 审 查 你 可 以 拿 着 这 个 列 表 ， 然 后 与 你 本 地 的 镜 像 做 比 较 。 这 里 就 是 事 情 变 得 有 趣 的 地 方 。 根 据 本 地 镜 像 和 这 个 列 表 做 一 个 简 单 而 廉 价 的 匹 配 结 果 ， 你 就 马 上 能 知 道 你 是 否 运 行 着 有 漏 洞 的 镜 像 。 这 可 以 很 容 易 的 扩 展 到 成 千 上 百 万 的 主 机 。 这 也 意 味 着 事 情 可 以 很 好 的 解 耦 ： 你 的 安 全 审 查 员 不 需 要 访 问 你 的 生 产 环 境 ( 甚 至 不 需 要 访 问 你 的 开 发 环 境 中 的 系 统 ) 。 他 们 甚 至 不 需 要 要 知 道 你 运 行 着 什 么 镜 像 ： 他 们 只 需 大 面 积 的 对 镜 像 做 分 析 ， 然 后 得 出 结 果 给 你 。 你 甚 至 可 以 从 几 个 安 全 公 司 那 里 拿 到 结 果 然 后 比 较 他 们 的 结 果 。 我 的 镜 像 在 创 建 后 修 改 过 怎 么 办 ？ 对 于 新 手 ， 你 不 应 该 这 么 做 。 如 果 你 像 更 新 容 器 中 的 某 些 东 西 ， 你 应 该 创 建 一 个 新 的 镜 像 然 后 运 行 该 新 的 镜 像 。 好 吧 ， 但 是 我 已 经 这 么 做 了 该 怎 么 办 ？ 那 真 是 什 么 都 说 不 准 ， 但 是 至 少 我 们 能 知 道 你 这 么 做 了 。 安 全 审 查 的 一 部 分 ， 你 可 以 在 运 行 的 容 器 上 运 行 d o c k e r   d i f f 来 知 道 是 否 他 们 被 修 改 了 。 （ 通 常 d o c k e r   d i f f 是 没 有 结 果 的 。 注 意 你 已 经 用 s h e l l 启 动 了 一 个 容 器 ， 或 者 在 容 器 内 执 行 过 d o c k e r   e x e c ， 你 可 能 会 看 到 少 许 的 更 改 。 但 是 生 产 环 境 的 容 器 不 应 该 出 现 任 何 的 更 改 结 果 。 ） 专 业 的 T i p ： 你 甚 至 可 以 防 止 更 改 ， 通 过 在 容 器 中 使 用 的 标 记 来 达 到 这 一 点 。 这 会 让 容 器 的 文 件 系 统 只 读 ， 保 证 X Y Z - - r e a d - o n l y d o c k e r   d i f f
的 结 果 为 空 。 如 果 你 想 用 一 条 命 令 来 检 查 所 有 的 容 器 ， 可 以 执 行 ： d o c k e r   p s   - q   |   x a r g s   - I   { }   d o c k r   d i f f   { } ( 感 谢 @ d i o g o m o n i c a 提 供 命 令 ！ ) 我 已 经 构 建 了 自 定 义 的 容 器 怎 么 办 如 果 你 构 建 了 自 己 的 容 器 ， 我 建 议 你 把 他 们 上 传 到 一 个 仓 库 里 面 。 如 果 这 是 一 个 公 共 的 ， 我 们 就 会 到 最 初 讨 论 的 情 形 。 如 果 这 是 一 个 私 有 的 ， 让 我 们 看 下 一 个 部 分 ！ 私 有 的 镜 像 和 注 册 表 该 怎 么 办 ？ 如 果 你 上 传 的 是 私 有 的 镜 像 怎 么 办 ？ 如 果 你 上 传 的 地 方 是 一 个 本 地 的 注 册 表 ， 或 者 D o c k e r   H u b 的 企 业 版 怎 么 办 ？ 事 情 显 然 变 得 更 加 复 杂 了 。 你 可 能 会 看 见 有 人 告 诉 你 “ 设 想 A B C 有 C V E - X Y Z 的 漏 洞 ” 如 果 他 们 从 来 没 有 看 到 过 镜 像 A B C 。 这 里 是 一 些 可 能 会 发 生 的 事 情 ： 安 全 提 供 商 可 以 提 供 镜 像 的 扫 描 器 ， 你 可 以 用 在 自 己 的 镜 像 上 ； 安 全 提 供 商 可 以 更 进 一 步 ， 将 其 集 成 到 D o c k e r 的 注 册 表 中 。 这 可 以 通 过 分 配 读 权 限 （ 访 问 D o c k e r   H u b 上 的 私 有 镜 像 ） 或 者 部 署 前 置 （ o n - p r e m ） 的 安 全 扫 描 器 （ 对 于 D o c k e r   H u b 企 业 版 的 情 形 ） 来 实 现 。 在 两 个 情 形 中 ， 都 能 达 到 一 旦 镜 像 上 传 就 会 被 自 动 扫 描 的 效 果 ， 并 且 立 即 报 告 任 何 可 能 包 含 的 漏 洞 。 结 论 有 两 点 我 想 强 调 ， 因 为 我 相 信 这 能 在 安 全 领 域 产 生 好 的 结 果 。 1 .   得 出 数 字 是 好 的 。 一 旦 我 们 得 到 了 量 化 的 数 据 ， 我 们 可 以 提 升 他 们 。 D o c k e r 对 于 安 全 问 题 十 分 延 严 肃 ， 你 可 以 很 肯 定 我 们 会 和 社 区 及 镜 像 的 维 护 者 一 期 来 改 善 这 些 量 化 数 据 。 2 .   有 类 似 这 样 的 围 绕 着 D o c k e r 和 D o c k e r   H u b 的 生 态 环 境 和 社 区 ， 让 他 们 成 为 一 个 树 立 标 准 的 地 方 。 正 如 S o l o m a n 在 一 些 k e y n o t e 里 面 指 出 的 ， D o c k e r 里 面 最 重 要 的 一 点 不 是 技 术 ， 而 是 让 人 在 某 事 上 达 成 一 致 。 后 一 点 意 味 着 D o c k e r 现 在 有 足 够 的 批 评 群 体 来 校 正 横 向 的 工 具 （ 包 括 安 全 审 查 ） 来 让 这 个 生 态 环 境 受 益 。 其 结 果 会 是 更 加 完 善 的 安 全 机 制 ， 让 每 一 个 人 受 益 。 D o c k e r 注 重 安 全 如 果 有 D o c k e r 公 司 不 在 乎 安 全 的 印 象 ， 那 真 相 离 你 就 太 远 了 。 正 如 上 面 指 出 的 ， 我 们 有 一 个 负 责 的 披 露 安 全 的 政 策 ， 并 且 我 们 总 是 很 快 的 解 决 我 们 意 识 到 的 问 题 。 没 有 哪 个 软 件 是 没 有 b u g 的 。 D o c k e r 也 是 由 人 类 编 写 出 来 的 ， 即 时 他 们 有 些 人 十 分 的 了 优 秀 ， 但 是 还 是 会 犯 错 。 重 要 的 是 我 们 对 待 安 全 报 告 的 严 肃 态 度 如 何 ， 我 们 解 决 这 些 问 题 的 速 度 如 何 ； 我 想 我 们 在 这 些 方 面 都 一 直 做 的 很 好 。 如 果 你 想 让 你 的 D o c k e r 的 环 境 更 加 安 全 ， 我 推 荐 你 看 下 d o c k e r b e n c h 。 我 参 与 了 其 编 写 ， 该 软 件 包 含 了 一 个 自 动 化 的 评 估 工 具 可 以 用 来 评 估 D o c k e r 的 主 机 ， 使 用 的 是 C I S   D o c k e r   1 . 6   B e n c h m a r k 。 它 会 检 查 很 多 事 情 （ 如 是 否 S E L i n u x 和 A p p A r m o r 是 启 用 了 的 ） 然 后 生 成 一 个 报 告 。 这 是 D o c k e r 会 推 出 或 者 参 与 的 一 大 批 软 件 的 第 一 批 ， 目 的 是 让 你 可 以 在 没 有 D o c k e r 容 器 安 全 方 面 的 P h . d 的 证 书 的 情 形 下 ， 或 者 在 没 有 聘 请 一 个 T a y l o r   S w i f t 的 情 形 下 ， 安 全 地 运 行 D o c k e r 。 并 且 ， 我 们 鼓 励 公 开 的 讨 论 ， 安 全 的 担 忧 也 不 例 外 。 D o c k e r   L i b r a r y 的 仓 库 里 面 有 一 个 十 分 有 趣 的 有 关 于 这 个 话 题 的 讨 论 。 额 外 的 提 示 有 人 问 我 阐 释 下 容 器 究 竟 为 什 么 有 用 ， 如 果 我 们 不 反 复 的 检 查 我 们 运 行 的 所 有 的 东 西 的 来 源 。 这 里 是 一 些 例 子 ：
容 器 让 我 们 可 以 在 沙 箱 环 境 下 测 试 一 些 危 险 的 操 作 （ 如 著 名 的 ） ， 并 且 可 以 查 看 到 底 能 产 生 结 果 ， 这 得 益 与 。 容 器 让 我 们 可 以 在 沙 箱 环 境 下 测 试 一 些 危 险 的 操 作 （ 比 如 一 个 商 用 软 件 的 ） ， 并 且 可 以 查 看 到 底 能 产 生 结 果 ， 这 得 益 与 。 容 器 让 我 们 可 以 在 沙 箱 环 境 下 测 试 一 些 危 险 的 操 作 （ 如 安 装 一 个 n p m ， p i p ， g e m 等 等 的 包 ， 但 是 我 们 不 清 楚 其 来 源 ） ， 并 且 可 以 查 看 到 底 能 产 生 结 果 ， 这 得 益 与 。 容 器 让 我 们 可 以 在 沙 箱 环 境 下 测 试 一 些 危 险 的 操 作 （ 如 安 装 一 个 d e b ， r p m 或 者 其 他 的 发 行 版 的 包 ） ， 并 且 可 以 查 看 到 底 能 产 生 结 果 ， 这 得 益 与 。 容 器 让 我 们 可 以 在 沙 箱 环 境 下 测 试 一 些 危 险 的 操 作 （ 如 安 装 一 个 危 险 的 s q u i d 包 ） ， 并 且 可 以 查 看 到 底 能 产 生 结 果 ， 这 得 益 与 。 我 猜 想 你 能 看 出 这 个 模 式 。 仅 仅 因 为 事 情 以 一 种 熟 悉 的 形 式 呈 现 给 你 并 不 代 表 它 们 是 安 全 的 。 但 是 我 们 可 以 使 用 D o c k e r 来 提 升 安 全 性 。 来 源 ： h t t p : / / d o c k o n e . i o / a r t i c l e / 4 1 9 阅 读 原 文 c u r l   . . .   |   s h d o c k e r   d i f f i n s t a l l . s h d o c k e r   d i f f d o c k e r   d i f f d o c k e r   d i f f d o c k e r   d i f f
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理