内容导读：导航目录:1、如何使用docker来***我现在正在使用的系统的镜像2、docker镜像构建3、怎么在服务器上***docker镜像4、docker基础镜像是什么意思5、针对docker系统的渗透测试**...……
导航目录:
- 1、如何使用docker来 *** 我现在正在使用的系统的镜像
- 2、docker镜像构建
- 3、怎么在服务器上 *** docker镜像
- 4、docker基础镜像是什么意思
- 5、针对docker系统的渗透测试 ***
- 6、Docker如何创建镜像？怎么修改，上传镜像
如何使用docker来 *** 我现在正在使用的系统的镜像
在使用Docker的过程中，我们除了从Docker Hub上下载已经做好的镜像，很多时候需要我们自己 *** 镜像。下面想在这个文章中说明一下镜像的 *** *** 。
*** 镜像的方式主要有两种：
通过docker commit *** 镜像
通过docker build *** 镜像
这两种方式都是通过改进已有的镜像来达到自己的目的。 *** 基础镜像，会在另外一篇文章“从零开始 *** 基础镜像”中介绍。
docker commit
docker commit 是往版本控制系统里提交一次变更。使用这种方式 *** 镜像，本质上是运行一个基础镜像，然后在基础镜像上进行软件安装和修改。最后再将改动提交到版本系统中。
选择基础镜像
基础镜像的选择要结合自己的需求。可以选择已有的应用镜像来改造，也可以选择Ubuntu，Debian，OpenSuse这类基础系统镜像
我们以ubuntu为例子来说明
步骤1：运行ubuntu 镜像
docker run -i -t ubuntu /bin/bash
步骤2：安装软件并修改软件配置, 比如：安装apache2
apt-get -yqq update
apt-get -y install apache2
安装完成后，对apache2进行配置和修改
步骤3：退出docker并保存镜像
使用“exit”命令退出容器
运行docker comit 命令, 进行保存
docker commit 61412230ae46 own-apache2
docker commit 命令参数说明
命令格式
docker commit [OPTIONS] CONTAINER [REPOSITORY[:TAG]]
OPTIONS:
-a, --author= 提交的镜像作者
-c, --change=[] Apply Dockerfile instruction to the created image, 没用过
-m, --message= 提交时的说明文字
-p, --pause=true 在commit时，将container 暂停
CONTAINER:
可以使用container 的名字或者ID
REPOSITORY
指定镜像仓库，上述例子中，指定的是本地存储
可以指定远程镜像仓库，如docker hub。也可自建仓库来存放image
TAG:
镜像TAG
docker build
使用docker build创建镜像需要编写Dockerfile.
步骤：
编写自己的Dcokerfile
运行docker build 命令打包镜像
仍然以apache打包为例子。以下是Dockerfile的例子
FROM ubuntu:latest
MAINTAINER sky
#Add 163 mirror for apt
ADD sources.list /etc/apt/sources.listADD .bashrc /root/.bashrcENV DEBIAN_FRONTEND noninteractive# PackagesRUN rm -rf /var/lib/apt/listsRUN apt-get update -q --fix-missingRUN apt-get -y upgrade#ubuntu wwwRUN apt-get install -y apache2 curl libapache2-mod-php5 php5-curl php5-gd php5-mysql rsync mysql-client -qqRUN apt-get autocleanRUN rm -rf /var/lib/apt/lists/*# Setup environmnt for apache's init scriptENV APACHE_CONFDIR /etc/apache2ENV APACHE_ENVVARS $APACHE_CONFDIR/envvarsENV APACHE_RUN_USER www-dataENV APACHE_RUN_GROUP www-dataENV APACHE_RUN_DIR /var/run/apache2ENV APACHE_PID_FILE $APACHE_RUN_DIR/apache2.pidENV APACHE_LOCK_DIR /var/lock/apache2ENV APACHE_LOG_DIR /var/log/apache2ENV LANG CRUN mkdir -p $APACHE_RUN_DIR $APACHE_LOCK_DIR $APACHE_LOG_DIRRUN find "$APACHE_CONFDIR" -type f -exec sed -ri ' \ s!^(\s*CustomLog)\s+\S+!\1 /proc/self/fd/1!g; \ s!^(\s*ErrorLog)\s+\S+!\1 /proc/self/fd/2!g; \' '{}' ';'EXPOSE 80CMD ["apache2", "-DFOREGROUND"]
编辑完成后，在与Dockerfile同一目录下运行docker build 命令
docker build -t apache-img .
如果没有命令出错，docker build会持续运行直到镜像创建完成
而创建的过程本质上是运行一个镜像，然后在镜像中按序执行在Dockerfile中的命令，直到执行结束。
如果中间有命令执行失败，镜像创建会停止。这时就需要看log，并修改Dockerfile，然后再次执行docker build
注：两种镜像创建方式的对比：
docker commit
docker build
难度相对容易，适合新手和对Linux不熟悉的用户相对难，要求有一定的linux和脚本基础知识
文档化
文档化在通过其他文件来实现
Dockerfile本身就是比较好的文档，可读和可理解性比较强。也可配合其他文档带来详细说明
升级，维护
后续升级和维护麻烦，需要再次运行镜像并对内部软件进行升级或者安装新软件增加特性
后续升级和维护会相对简单，可以直接在dockerfile中更改并增加新特性
具体选择哪种方式来 *** 镜像需要结合实际情况来选择
Dockerfile 关键字详解
FROM
FROM用来指定基础包。在上面的例子中，基础包用的是ubuntu。
MAINTAINER
镜像作者信息，或者维护人员信息
ADD
将文件拷贝到Container内文件系统对应的路径
格式 ADD src file dst file
所有拷贝到Container中的文件和文件夹权限为0755，uid和gid为0
如果需要修改owner用户或者权限，需要使用RUN进行修改
ADD文件，文件路径要在docker buildPATH中指定的PATH下
RUN
创建镜像时执行
ENV
用来设置环境变量
EXPOSE
Container内部服务开启的端口
主机上如果要使用，还需要在启动Container时，做host-container的商品映射
使用EXPOSE后，一些自动化布署工具可以直接读取这个信息，自动进行端口映射
EXPOSE可以有多条，指定多个端口
WORKDIR
切换工作目录，可进行多次切换（相当于cd命令）
切换目录对RUN，CMD，ENTRYPOINT有效
USER
执行container的用户，如未指定，则默认使用root用户
ENTRYPOINT
Container启动时执行的命令，一个Dockerfile中只能有一条ENTRYPOINT
ENTRYPOINT没有CMD的可替换特性
CMD
Container 启动时执行的命令，一个Dockerfile 中只能有一条CMD命令，如果有多条则只执行最后一条CMD
如果有多条命令希望在启动后执行，可以考虑使用shell 脚本
与ENTRYPOINT的区别
CMD的主要用途是为可执行的container提供默认命令
CMD在运行时是可替换的，比如
在ubuntu中，CMD指定的是/bin/bash。默认情况下运行ubuntu，container中的/bin/bash会被执行
如果使用docker run指定运行命令，那CMD会被替换掉
如：docker run ubuntu /bin/echo "this is a echo". 这时，container 启动后会执行echo 而不是/bin/bash了
ENTRYPOINT是不会替换的，如果在ubuntu镜像中加入ENTRYPOINT，那ENTRYPOINT在启动后会先被执行
CMD可以为ENTRYPOINT来提供参数
例子：
FROM ubuntu:14.10
ENTRYPOINT ["top", "-b"]
CMD ["-c"]
VOLUME
语法：VOLUME [PATH]
VOLUME指令用来设置一个挂载点，可以用来让其他容器挂载以实现数据共享或对容器数据的备份、恢复或迁移
可以将本地文件夹或者其他Container的文件夹挂载到Container中
docker镜像构建
基本的构建命令为： docker build -t name:tag -f Dockerfile .
-t : 表示构建出来的镜像名称
-f : 表示构建使用的dockerfile文件名称
. : 表示构建使用当前路径作为上下文（contex），如果你是在根目录 / 下面构建，不建议使用 . （不建议使用根路径作为上下文），因为根路径下面有虚拟文件系统，如 /proc 之类的，构建的时候会报找不到文件的错误。
镜像构建流程为首先将指定的上下文（contextpath）路径下的文件打包，发送到服务端。服务端再将收到的文件解压，然后以解压后的路径作为上下文，进行镜像构建。
docker构建命令中如果没有以 -f 指定Dockerfile，则以上下文中的Dockerfile文件作为构建文件；如果通过 -f 指定了Dockerfile文件路径及名称，则在构建上下文中寻找指定的文件。
docker build的时候，如果某一层无法使用上一次的构建缓存，则后续层均无法使用，故若大多数层均未改变，建议将未改动的层放在前面。如 RUN apt get install -y tmux 命令，如果tmux版本有变化，则无法继续使用构建缓存，建议将该语句放到后面。
参考： 。
--no-cache=true 可以不使用缓存，不知道能否解决构建时提示缓存不足的问题。
可以直接编译得到最终镜像： docker build -t go/helloworld:3 .
也可以只构建 builder 阶段的镜像： docker build --target builder -t username/imagename:tag .
构建时，可以复制上一阶段的镜像中的文件，也可以复制任意镜像中的文件。
COPY --from=nginx:latest /etc/nginx/nginx.conf /nginx.conf
as 后面的名字可以任意填写，主要作用是作为一个标识，方便单独构建其中一个镜像，或者是其他镜像从中获取部分文件。
参考：
没有守护进程，不需要 root 特权，而且生成的是符合 OCI 的镜像，因此你的镜像的运行方式与使用 Docker 构建的镜像完全相同。它还能使用 Dockerfile 或 Containerfile 构建镜像， Dockerfile 与 Containerfile 实际上是同一个东西，只是叫法不同罢了。除此之外，Buildah 还提供了对镜像层更精细的控制，支持提交大量的变更到单个层。我认为，它与 Docker 之间有一个出乎意料的区别（但这个区别是好事），那就是使用 Buildah 构建的镜像特定于用户，因此你可以只列出自己构建的镜像。
Google 发布了“ Kaniko ”，一种用于在未授权容器或 Kubernetes 集群中构建容器镜像的开源工具。虽然 Kaniko 也是根据用户给定的 Dockerfile 构建镜像，但是并不依赖于 Docker 守护进程，而是在用户空间中完全执行每个命令，并对所导致的文件系统更改做快照。一般多用于在流水线中执行的编译构建。它与 Buildah 的主要区别在于，Kaniko 更加侧重于 Kubernetes 中的镜像构建。
另外需要制定镜像仓库名字，从而自动推送到目标仓库。
--context ：指定构建上下文（可以挂载本地目录，也可以指定git地址，如 git://github.com/mycorp/my-app.git ），
--destination ：指定要推送的仓库地址，
--dockerfile ：指定dockerfile文件。存在一个问题是，tag是写死的，每次得到的镜像会覆盖。
k8s中使用：
并行构建、跳过未使用的阶段、更好的增量构建以及不需要 root 权限等构建。但是，它仍然需要运行守护进程 (buildkitd)。因此，如果你不想摆脱 Docker，同时又想要一些新的功能和改进，那么可以考虑一下 buildkit。
怎么在服务器上 *** docker镜像
步骤1：为我们的容器创建之一个镜像
# 以 centos 镜像作为基础镜像，我们启动自己的容器并在其中执行/bin/bash命令
# 注：-t -i 参数用于创建一个虚拟的命令行。
sudo docker run -t -i centos /bin/bash
现在我们已经成功的运行了自己的之一个容器，并且进入到容器的命令行界面中。在容器中，我们执行下面的命令：
yum -y update # 更新软件包
yum install which # 安装which命令
yum install git # 安装Git
安装完成后，按 Ctrl + d 来退出容器的命令行。
# 执行sudo docker ps -a，可以看到被我们终止的容器
CONTAINER ID IMAGE COMMAND CREATED……
da9031d3568f centos:6.4 /bin/bash 5 minutes ago…..
把我们所做的改变提交到一个新的容器：
# 这里我们创建一个自己的基础容器，容器中安装好了文章中所需的常用工具。读者的容器 id 可能与文章中的有所不同，以上一步 docker ps -a 的结果为准。
sudo docker commit da90 custom/base
容器成功提交后，执行 sudo docker images ，我们会看到刚才提交的容器（如下面的结果所示）。我们就以这个容器为基础容器，再来创建一个新的容器。
REPOSITORY TAG IMAGE ID CREATED
custom/base latest 05b6cecd370b 2 minutes ago
centos 6.4 539c0211cd76 10 months ago
centos latest 539c0211cd76 10 months ago…
步骤2：创建新的容器，并安装 apache
# 以 custom/base 容器为基础，运行一个新的容器。
sudo docker run -t -i custom/base /bin/bash
# 安装 httpd
yum install httpd
步骤3：再次提交新的容器
按 Ctrl + d 来退出容器的命令行，然后执行命令：
# 这个命令会把步骤2中我们安装 httpd 带来的改变提交到新的名为 custom/httpd 的容器镜像中。你的容器 id 可能会和文章中有所不同，以 sudo docker ps -a 命令的结果为准。
sudo docker commit aa6e2fc0b94c custom/httpd
你应该已经发现了，我们创建了一个带有 http 服务器并可以复用的容器镜像。你可以根据这种思想，为自己所需的每个组件都创建一个容器，然后把这些容器复用于开发环境或者生产环境。
步骤7：运行 http 服务器
# -v will Mount a volume from VM to the container which was also shared from host to Vagrant VM.
# -v 参数把主机共享给虚拟机的一个卷挂载到容器中
# -p forward VM port 80 to container port 80; VM port 80 is mapped to host port 8080 in Vagrantfile
# -p 参数把虚拟机的80端口映射到容器的80端口；虚拟机的80端口在 Vagrantfile 中被绑定到主机的8080端口，也就是：主机8080-虚拟机80-容器80
sudo docker run -t -i -p 80:80 -v /vagrant/htdocs:/var/www/html custom/httpd /bin/bash
# 启动 Apache
apachectl -k start
docker基础镜像是什么意思
镜像是 Docker 运行容器的前提，Docker 镜像可以看作是一个特殊的文件系统，除了提供容器运行时所需的程序、库、资源、配置等文件外，还包含了一些为运行时准备的一些配置参数（如匿名卷、环境变量、用户等）。镜像不包含任何动态数据，其内容在构建之后也不会被改变。
对于docker镜像，官方的定义如下: An image is a read-only template with instructions for creating a Docker container. Often, an image is based on another image, with some additional customization. For example, you may build an image which is based on the ubuntu image, but installs the Apache web server and your application, as well as the configuration details needed to make your application run.‘ 映像是一个只读模板，带有创建Docker容器的指令。通常，一个映像是基于另一个映像的，还需要进行一些额外的定制。例如，您可以构建一个基于ubuntu映像的映像，但是安装Apache web服务器和您的应用程序，以及使您的应用程序运行所需的配置细节。
针对docker系统的渗透测试 ***
翻译总结于：《A Methodology for Penetration Testing Docker Systems》
文章从两个攻击模型进行分析，结合错误配置和已知漏洞对docker渗透测试进行总结归纳，并给出了一份docker渗透测试检查清单。
作者讨论了两种情况：在容器内和在容器外。在容器内部，攻击者会聚焦在逃逸隔离（即容器逃逸）。在容器外部，即宿主机上，攻击者还没有主机特权，这时候攻击者将会使用Docker（即Docker daemon攻击）来获得权限。
容器逃逸重点在攻击和绕过隔离和保护机制，其中又可分成两种：一种是从容器逃逸到主机（CVE-2017-7308），另一种是从容器逃逸到另一个容器获取其中数据。
作者从错误配置和安全漏洞两个角度对上述两个场景中的安全问题进行了梳理。漏洞问题是自身程序问题，错误配置更多的是用户使用问题。
前两个错误配置与在主机上执行的Docker Daemon有关，其他错误配置与从容器内执行的容器逃逸攻击有关。
（2）可读写的Docker Socket：一些管理员设置了所有用户的读写权限，给了所有用户Docker Daemon的权限，尽管用户不在docker group也能使用docker。
（3）setuid bit：系统管理员在docker二进制文件上设置setuid位。setuid位是Unix中的权限位，它允许用户运行二进制文件而不是其本身作为二进制文件的所有者。如果为docker二进制文件错误配置了setuid位，那么用户将能够以root身份执行docker。
（1）Container Escape Using the Docker Socket：如果/var/run/docker.sock作为volume挂载到容器上，那么容器中的进程可以完全访问主机上的docker。
（2）Sensitive Information：当容器可以访问/var/run/docker.sock时，用户可以查看现有容器的配置，其中可能包含一些敏感信息。
（3）Remote Access：如果没有配置docker API只监听本地主机，那么 *** 上的每个主机都可以访问docker，攻击者可以利用这种错误配置启动其他容器。
文章中列举了一些最近的且已完全公开的可能在渗透测试期间使用的bug。
（1）CVE-2019-16884
（2）CVE-2019-13139
（3）CVE-2019-5736
（4）CVE-2019-5021
（5）CVE-2018-15664
（6）CVE-2018-9862
（7）CVE-2016-3697
首先需要对目标系统执行侦查来收集数据，然后使用收集到的信息来识别弱点和漏洞。
（2）识别容器的操作系统（或者Docker镜像）
（3）识别主机操作系统：因为容器使用宿主的内核，所以可以使用内核版本来标识宿主信息，从而检测一些内核利用。
（4）读环境变量：环境变量是启动容器时与容器通信信息的一种方式。当一个容器启动时，环境变量被传递给它，这些变量通常包含密码和其他敏感信息。
（5）检查Capabilities：通过查看/proc/self/status来查看容器的内核功能。其中CapEff是当前功能的值，可以使用capsh工具从十六进制值获取功能列表。可以使用这个来检查是否有可以用来容器逃逸的功能。
（6）检查特权模式：如果容器以特权模式运行，它将获得所有功能，因此可以通过查看能力（0000003fffffffff是所有能力的表示）来检查是否以特权模式运行进程。
（7）检查volumes：卷中可能包含敏感信息，可以通过查看挂载的文件系统位置来查看。
（8）检查挂载的docker socket
（9）检查 *** 配置
（2）拥有docker使用权限的用户
（3）配置：/etc/docker/daemon或/etc/default/docker
（4）可获得的镜像和容器
（5）iptables规则：使用 iptables -vnL 和 iptables -t nat -vnL，可以看到默认表filter和nat的规则。所有关于docker容器的防火墙规则都在filter中的docker -user链中设置。
Docker如何创建镜像？怎么修改，上传镜像
初次安装部署好docker后,大多数镜像可以从DockerHub 提取,但是大多数人都希望自己可以完全自定义一个镜像,那么这里需要一个第三方工具 febootstrap
epel6的源提供febootstrap的RPM包
yum install docker-io febootstrap -y
service docker start
chkconfig docker --level35 on
复制代码
*** CentOS6.6镜像目录
febootstrap -i yum -i iputils -i iproute -i bash -i vim-minimal -i coreutils -i tar -i net-tools centos6 base a href="" target="_blank";/a -u a href="" target="_blank";/a
复制代码
-i 表示镜像里面安装的RPM包(包括一些人为有必要的软件包)
centos6 表示镜像的版本说明
base 表示生成的镜像目录
后面之后了系统安装源和更新源为USTC
安装执行后,会开始一系列的RPM包下载安装,过程与yum类似,安装完成后当前目录会多了base目录,里面就是一个镜像的系统文件
进入base目录等于进入镜像的根目录
[root@image ~]# cd base/
[root@image base]# ls
bin boot dev etc home lib lib64 media mnt opt proc root *** in selinux srv sys tmp usr var
复制代码
可以像一般的系统文件一样先做一些修改配置,例如配置第三方yum源等等
把base目录把所有文件打包成二进制文件后导入docker创建为镜像
cd ~/root/base/ tar -c . | docker import - centos6:base
复制代码
docker images 可以查看镜像的信息
一个基本centos镜像创建完毕,下面再利用Dokcerfile *** mysql镜像
cat Dockerfile
FROM centos6:base
MAINTAINER Lion "lioncui@163.com"
VOLUME /var/lib/mysql
RUN yum install mysql-server mysql -y
RUN echo -ne "NETWORKING=yes\\nHOSTNAME=mysql" /etc/sysconfig/network
RUN echo -ne "bind-address = 0.0.0.0\\ndefault-storage-engine=innodb\\ninnodb_file_per_table\\n\
collation-server=utf8_general_ci\\ninit-connect='SET NAMES utf8'\\ncharacter-set-server = utf8" insert
RUN sed -i "/user=mysql/r insert" /etc/my.cnf rm -f insert
RUN echo -ne "/usr/bin/mysql_install_db\\n/usr/bin/mysqld_safe" /opt/mysql_start
RUN chmod 777 /opt/mysql_start
ENV PATH /usr/local/ *** in:/usr/local/bin:/ *** in:/bin:/usr/ *** in:/usr/bin:
WORKDIR /opt
EXPOSE 3306
CMD /bin/sh -c mysql_start
复制代码
FROM 声明以centos:base镜像为基础
MAINTAINER 声明镜像的维护者信息
VOLUME 挂载本地目录到容器里/var/lib/mysql目录(这是mysql默认的数据保存目录)
由于我希望数据可以持久化防止因为容器误删除而丢失,所以映射到宿主本地目录
RUN 在镜像中执行安装mysql
在新镜像中写入HOSTNAME信息,因为mysql启动过程需要network文件
在my.cnf配置文件插入一些修改配置
创建启动脚本
声明环境变量
制定默认工作目录
EXPOSE 声明容器需要暴露的端口号
CMD 是指镜像生成容器后自动执行的命令,类似docker exec,这里是自动启动mysql服务
根据Dockerfile创建mysql服务镜像
docker build --rm=true -t mysql:frist .
查看镜像的树状关系可以发现,mysql:frist是以centos:base为父镜像