Docker Daemon 远程接口风险（2375/2376）

Docker 守护进程默认只监听 Unix Socket；若配置为 TCP 监听（2375 明文 / 2376 TLS），等价于把主机控制面暴露出去——可达者可以创建特权容器、挂载宿主目录。

暴露核查（对本方资产）

curl -s --max-time 3 http://<目标IP>:2375/version | head
# 返回版本 JSON 说明 2375 可达
ss -ltnp | grep -E '2375|2376'   # 在目标主机上确认监听来源

1. 默认形态：仅保留 unix socket，删除 TCP 监听
2. 确有远程需求：启用 TLS 双向认证（2376）并限制来源
3. 云环境：优先用云厂商容器服务替代裸 Docker 远程面

Docker Daemon 权限与 root 等效；2375 对公网或大网段开放属于危急级暴露面。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌