| 核查 | 2375/2376 可达性、TLS 客户端校验 |
|---|---|
| 信号 | 未认证即可读取容器列表 |
| 处置 | 关闭远程 API 或仅受控网段 + 双向 TLS |
只读检查示例
只读检查示例
curl -s --max-time 3 http://10.0.20.11:2375/version
# 能返回版本即未受保护；记录后停止，不执行容器操作对方是宿主机级控制面：任何写操作验证都禁止。
Docker 远程 API 暴露检查
开放的 Docker 守护进程端口等于宿主机控制权：核查 2375/2376 可达性与 TLS 校验配置。
易错点
- 用创建容器证明危害，直接落地恶意负载
- 忽略容器网络内的其他暴露节点
数据来源与参考
- Docker 官方文档（守护进程安全）
- CIS Docker Benchmark