| 清单 | docker ps -a 看全部容器 |
|---|---|
| 重点 | RestartPolicy、Privileged、挂载 / |
| 镜像 | 陌生镜像与本地构建痕迹 |
| 注意 | 容器内再藏 cron 与进程 |
枚举容器与关键配置
枚举容器与关键配置
docker ps -a --format 'table {{.Names}}\t{{.Image}}\t{{.Status}}'
docker inspect $(docker ps -q) --format '{{.Name}} privileged={{.HostConfig.Privileged}} restart={{.HostConfig.RestartPolicy.Name}}' | head
docker inspect --format '{{.Mounts}}' suspicious_container取证顺序：先 inspect 导出配置与日志，再 stop 容器；直接 rm 会丢容器层证据。