Doki 致命威胁：一种极具破坏力的新型 Docker 漏洞（以及您的应对之道）

在日语拟声词中，“doki-doki”一词形容心脏剧烈跳动的声音……如果安全团队发现他们的 Docker 服务器感染了 Doki，这正是他们可能会有的心跳体验。Doki 是一种新型漏洞，它为恶意代码注入等攻击提供了后门。说它“名副其实”一点也不为过。

随着我们对云基础设施的依赖日益加深，安全最佳实践的精确性和可扩展性变得至关重要。这不仅要求我们超越应用部署的安全底线，还必须在整个软件开发生命周期（SDLC）中明确并部署针对容器安全的定制化措施。

网络攻击正变得愈发频繁，针对 Linux 基础设施的威胁也日益增多，攻击者的最终目标往往是窃取云端存储的敏感数据。Doki 正是为此而来，它利用多种技术手段保持隐蔽、强大且高效，在 Docker 安全领域，这种攻击方式前所未见。

什么是 Doki，它是如何运作的？

正如许多应用程序被入侵的常见原因一样，安全配置错误在软件漏洞中扮演了极其恶劣的角色。对于 Docker 而言，配置错误的 Docker Engine API 已被证明是攻击者的“温床”。自 2018 年以来，Ngrok 僵尸网络挖矿程序一直在搜寻不安全的 Docker 服务器，通过启动自己的容器并在受害者的基础设施上执行恶意软件来 获利。

Doki 是该恶意软件的一个更狡猾、更具破坏性的版本，它通过同一个僵尸网络利用相同的攻击向量——API 配置错误——而大获成功。这些错误本应在代码部署或服务器公开之前就得到解决。Doki 利用大家熟知的讽刺性加密货币——狗狗币（Dogecoin）的区块链作为几乎无法检测的后门。自一月份以来，它一直潜伏在暗处，几乎未留下任何痕迹。

该恶意软件本质上是滥用区块链钱包来生成命令与控制（C2）域名，这本身并不新鲜，但 Doki 能够持续在受感染的服务器上执行远程代码，从而为勒索软件和 DDoS 等一系列破坏性攻击铺平了道路。它就像一只“咬住骨头不放的狗”，极其顽固。Intezer 的专家们针对这一威胁及其庞大的载荷撰写了详尽的分析报告。

识别代码中的 Doki 路径。

Doki 是一种运行在去中心化区块链网络上的后门，它采用隐蔽且快速的容器逃逸技术来掩盖踪迹、访问主机更多区域并持续传播感染，这对开发人员和安全团队来说无疑是一场噩梦。

尽管如此，如果 Docker 服务器的 API 端口是安全的，Doki 就无法进行感染。在生产环境中配置错误会带来深远的后果，但面对如此复杂且极具破坏性的恶意软件，通过有效的安全意识培训和提升云开发人员的实用安全编码技能，是一个相对“简单”的解决方案。

让我们看看这个不安全的 Docker API 示例，Doki 正是通过此类漏洞入侵并开始传播的：

dockerd -H tcp://0.0.0.0:2375

你能看出其中的配置错误吗？安全版本如下所示：

dockerd -H tcp://0.0.0.0:2376 --tlsverify --tlscacert=/etc/ssl/certs/ca.pem --tlscert=/etc/ssl/certs/server-cert.pem --tlskey=/etc/ssl/private/server-key.pem

在不安全的示例中，Docker Engine API 监听 TCP 2375 端口，它会接受任何连接请求，因此任何能够访问该 Docker 服务器的人都可以连接。

在安全示例中，Docker Engine API 已配置为使用 TLS 证书验证，它将仅接受来自提供受信任 CA 证书的客户端的连接。

我们推出了一系列全新的游戏化挑战，旨在帮助开发人员识别并修复 Doki 感染的根本原因，你可以点击此处进行体验：

构建安全的云基础设施需要团队协作。

云配置错误在 2018 年至 2019 年间给企业造成了高达 5 万亿美元的惊人损失，导致数十亿条记录泄露，并造成了不可挽回的声誉损害。对于这种本可避免的攻击途径而言，这一数据着实令人警醒。试想一下，如果能采取诸如监控并修复开放端口（最好在部署前完成）、检查未知容器以及留意服务器过载等措施，就能阻止像 Doki 这样不断蔓延的破坏，这对于换取安心而言，确实是微不足道的代价。

全公司的安全意识至关重要，对于每一位参与软件开发生命周期（SDLC）的人员来说，遵循安全最佳实践是不可妥协的底线。优秀的组织致力于构建稳健的 DevSecOps 流程，让安全责任由全员分担，确保开发人员和应用安全专家都能掌握必要的知识与工具，从而防止常见漏洞进入软件及关键基础设施。
想成为一名具备安全意识、能力出众的云工程师吗？立即开始测试您的技能。