[发明专利]docker容器内反弹shell的检测方法、系统、终端及存储介质

说明书

本发明涉及计算机技术领域，具体涉及docker容器内反弹shell的检测方法、系统、终端及存储介质。该方法包括以下步骤判断当前进程是否为反弹shell行为；判断发生反弹shell行为的进程是否包含containerd‑shim，若是则表示发生了docker容器内反弹shell行为；输出发生进程容器内反弹shell行为的报警信号，本发明通过判断当前进程是否为反弹shell行为，然后判断发生反弹shell行为的进程是否包含containerd‑shim，若是则表示发生了docker容器内反弹shell行为，快速发现docker容器内的反弹shell行为，相对于比较复杂的检测方法比较简单实用。

技术领域

本发明涉及计算机技术领域，尤其涉及docker容器内反弹shell的检测方法、系统、终端及存储介质。

背景技术

Docker是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的镜像中，然后发布到任何流行的Linux或Windows操作系统的机器上，也可以实现虚拟化。容器是完全使用沙箱机制，相互之间不会有任何接口。

目前反弹shell是计算机数据中心的噩梦，针对docker内的攻击也不断增加，每年有大量的企业或单位数据中心中招，损害了根本利益，目前市面上对docker内的反弹shell的检测还比较少，现有的技术也比较复杂，拦截的效果并不是很理想。

发明内容

为了解决上述现有技术中存在的技术问题，本发明提供了一种docker容器内反弹shell的检测方法、系统、终端及存储介质，快速发现docker容器内的反弹shell行为，相对于比较复杂的检测方法比较简单实用。

为实现上述目的，本发明实施例提供了如下的技术方案：

第一方面，在本发明提供的一个实施例中，提供了docker容器内反弹shell的检测方法，该方法包括以下步骤：

判断当前进程是否为反弹shell行为；

判断发生反弹shell行为的进程是否包含containerd-shim，若是则表示发生了docker容器内反弹shell行为；

输出发生进程容器内反弹shell行为的报警信号。

作为本发明的进一步方案，所述判断当前进程是否为反弹shell行为，包括如下步骤：

获取当前进程的进程空间的初始进程号和当前进程号；

根据初始进程号和当前进程号是否一致，判断进程是否发生了反弹shell行为。

作为本发明的进一步方案，所述根据初始进程号和当前进程号是否一致，判断进程是否发生了反弹shell行为：包括，

判断初始进程号和当前进程号是否一致，若不一致判断是否产生异常文件，若产生了则得出进程发生了反弹shell行为。

作为本发明的进一步方案，所述异常文件为socket，所述socket存储在/proc/pid/fd目录下中的文件中。

作为本发明的进一步方案，所述判断发生反弹shell行为的进程是否包含containerd-shim，若是则表示发生了docker容器内反弹shell行为，包括：

通过当前的进程标识，查看/proc/pid/status当前的进程状态，如果进程状态中包含containerd-shim则确定当前进程在docker容器内发生了反弹shell行为。

作为本发明的进一步方案，所述docker容器中containerd通过containerd-shim启动并管理runC。