如何通过Docker-Scan在Docker容器中检测文件指纹，识别潜在木马？

本文共计905个文字，预计阅读时间需要4分钟。

Docker Scout（注意：

要利用 Docker Scout 发现潜伏木马，关键不在“运行时检测”，而在于从镜像层中识别可疑文件指纹与行为痕迹。以下是具体可行路径：

一、确认镜像来源可信并启用内容信任

木马常藏于非官方、被投毒的镜像中，第一步必须控制入口：

• 设置环境变量启用 Docker 内容信任：

  export DOCKER_CONTENT_TRUST=1

• 拉取镜像时自动校验签名，拒绝未签名或签名失效的镜像：

  docker pull nginx:alpine

  若镜像无有效签名，命令会失败——这本身就能拦截大量已知恶意镜像。

二、用 docker scout cves 扫描已知漏洞组件

虽然 CVE 扫描主要针对已知漏洞，但很多木马依赖特定漏洞链（如 Log4j、Dirty Pipe）实现驻留。Scout 会：

• 解析每一镜像层的软件包清单（SBOM）
• 匹配 NVD、OSV、GitHub Advisory 等数据库中的已知风险组件
• 标出高危组件（如 libcurl4, python3.9, busybox）及其版本

示例命令：

docker scout cves your-app:latest --severity critical,high

若输出中出现 CVE-2023-27350（Alpine busybox 提权漏洞）或 CVE-2021-44228（Log4j RCE），说明该镜像层存在可被木马利用的温床。

三、用 docker scout quickview 或 Web 控制台查看文件级风险

Docker Scout 的深度能力体现在文件指纹分析上，尤其对以下木马常见痕迹敏感：

• 非标准路径下的可执行文件（如 /tmp/.x, /var/run/.sh）
• 高熵值二进制（疑似加壳或混淆的恶意载荷）
• 敏感字符串硬编码（如 ssh-rsa AAAA..., BEGIN PRIVATE KEY, C2 domain:）
• 异常权限文件（如 chmod +x /usr/bin/curl 后篡改）

操作方式：

• 推送镜像至 Docker Hub（需仓库开启 Scout 分析）
• 登录 hub.docker.com，进入镜像仓库 → Scout 标签页
• 切换到 Files 或 Configuration 子页，查看 Scout 标记的「Suspicious file」或「Hardcoded secret」条目

四、结合 docker history 和 dive 追溯可疑构建层

木马往往藏在某条 RUN 指令中（例如下载并静默执行脚本）：

docker history --no-trunc your-app:latest

重点关注：

• 命令中含 curl | sh、wget -qO-、base64 -d、echo ... | base64 -d > 等组合
• 层大小异常（如一个 RUN 产生 15MB 二进制，但没对应源码说明）
• CreatedBy 字段被截断或显示 #(nop) ... —— 可能是多阶段构建中故意隐藏

进一步用 dive 交互式查看每层文件变化：

dive your-app:latest

在界面中逐层浏览，观察是否出现：

• 新增的未知 ELF 文件（file /bin/.hidden 显示 ELF 64-bit LSB pie executable）
• /etc/cron.d/ 下非预期定时任务
• /root/.ssh/authorized_keys 被注入公钥

不复杂但容易忽略