基于docker的应急处置命令 conv.docxVIP

使用docker进行部署可实现快速的扩容部署，存在易用性，所以很多系统都是采用docker进行部署，但是利用docker部署的系统在发生攻击时，可能存在无法快速实现应急响应的问题。在宿主机上使用netstat-an是无法看到docker内的连接的，只能看到宿主机的连接

1.获取异常连接ip宿主机通过docker0和dockers容器进行通信，通过抓取docker0的数据包查看存在异常连接的docker，根据异常连接获取存在问题的docker：

抓取docker0的数据包：tcpdump-idocker0

可获取docker的ip地址：172.17.0.2在已经获取异常外联ip的情况下，可根据实际的地址进行过滤，如已知道异常外联ip地址为9.9.9.9：tcpdump-idocker0dsthost9.9.9.9-v

可通过该命令获取dockerip地址

根据docker的ip地址获取容器id，获取所有的coker容器ip

dockerinspect-f{{.Name}}-{{.NetworkSettings.IPAddress}}$(dockerps-aq)

可利用grep命令进行过滤，获取相关docker容器的名称

dockerinspect-f{{.Name}}-{{.NetworkSettings.IPAddress}}$(dockerps-aq)|

grep172.17.0.2

假如不知道异常的外联ip地址，可在networknamespace进行确认，

1#获取容器PIDdockerinspect-f{{.State.Pid}}containerId

2#进入容器的networknamespace nsenter-n-tpid

3#验证是否进入容器的networknamespace netstat-an|grepxx.xx.xx.xx

查看容器内文件状态变化：dockerdiffdemo

docker定位宿主机目录：dockerinspectdemo

查看镜像历史情况：dockerhistoryc8b4938e5db2

查找镜像相关的容器：

dockerps-a|grepIMAGE_NAME进入docker容器：

dockerexec-it531b2fdcad3cbash查看日志：

dockerlognames查看docker容器运行状态：dockerstatses攻击容器处理：删除相关容器和镜像：

1dockerrm-fcontainerId

2dockerrmiIMAGE_NAME

dockerpause暂停容器中所有的进程断开docker容器的网络：

1dockernetworkdisconnectbridgecontainer-name

保留入侵痕迹，使用dockercommit保存为镜像，可作为demo

将容器打包成镜像：

dockercommit135a0d19f757jenkins:1.0打包镜像为my_jenkins.tar：

dockersave-omy_jenkins.tarjenkins:1.0新服务器载入镜像：

dockerload--inputmy_jenkins.tar执行dockerrun：

dockerruncentos:7/usr/local/bash-cls/