Linux 取证135 条

容器日志与宿主机证据关联

容器日志以 JSON 行保存在宿主机目录，容器被删除后正是从这里找回；分析时注意容器时间与宿主时间的时区差异。

取证与溯源速查安全更新于 2026-10-12

文件	/var/lib/docker/containers/<ID>/<ID>-json.log
命令	docker logs --since/--until

查看

docker logs --since '2026-01-01T00:00:00' --until '2026-01-01T06:00:00' <容器> | head -40
tail -5 /var/lib/docker/containers/<ID>/<ID>-json.log 2>/dev/null

json-file 驱动下每行含 log 与 time 字段，time 为带时区的 RFC 3339 格式。

易错点

日志驱动改为 none 或 syslog 后本地文件不存在
容器重建会生成新 ID，旧日志需按容器名与时间对应

数据来源与参考

Docker 官方文档（json-file 日志驱动）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌