Docker Socket安全教程

发布时间：2016-08-07 更新于：2026-08-26 浏览：117

Docker Socket通常位于：

/var/run/docker.sock

它是Docker客户端与守护进程通信的入口。容器如果能够访问该Socket，往往可以创建高权限容器、挂载宿主机目录，最终获得接近Root级别的控制能力。

一、检查哪些容器挂载了Socket

docker inspect \
  --format '{{.Name}} {{range .Mounts}}{{.Source}}:{{.Destination}} {{end}}' \
  $(docker ps -q)

也应检查Compose文件中是否存在：

volumes:
  - /var/run/docker.sock:/var/run/docker.sock

下面的写法仍然存在风险：

- /var/run/docker.sock:/var/run/docker.sock:ro

文件系统只读挂载并不能限制Docker API执行创建容器、挂载目录等管理操作，因此不应把它视为安全隔离。

建议采取以下措施：

需要注意，加入docker用户组通常等同于获得较高的宿主机管理权限。

先确认容器用途和依赖关系，再在测试环境移除挂载。不要直接修改生产Compose文件后重建容器，以免监控、反向代理或自动部署功能中断。

广告合作

QQ群号：4114653

温馨提示：

本网站发布的内容(图片、视频和文字)以原创、转载和分享网络内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。邮箱：2942802716#qq.com（#改为@）。
本站原创内容未经允许不得转载，转载请注明出处“站长百科”和原文地址。

Docker