T1611: 逃逸到主机

摘要

攻击者可能突破容器或虚拟化环境，以获得对底层主机的访问权限。这可以使攻击者从主机层面访问其他容器化或虚拟化资源，或访问主机本身。原则上，容器化/虚拟化资源应提供应用程序功能的清晰隔离，并与主机环境隔离。(Citation: Docker Overview) 攻击者可以通过多种方式从容器逃逸到主机环境。示例包括：创建一个配置为使用 bind 参数挂载主机文件系统的容器，这使攻击者能够在主机上投放有效载荷并执行诸如 cron 之类的控制实用程序；利用特权容器在底层主机上运行命令或加载恶意内核模块；或滥用 `unshare` 和 `keyctl` 之类的系统调用来提升权限并窃取机密。(Citation: Docker Bind Mounts)(Citation: Trend Micro Privileged Container)(Citation: Intezer Doki July 20)(Citation: Container Escape)(Citation: Crowdstrike Kubernetes Container Escape)(Citation: Keyctl-unmask) 此外，攻击者可能能够利用带有已挂载容器管理套接字（如 `docker.sock`）的被攻陷容器，通过[容器管理命令](https://attack.mitre.org/techniques/T1609)突破容器。(Citation: Container Escape) 攻击者还可能通过[利用以提升权限](https://attack.mitre.org/techniques/T1068)来逃逸，例如利用全局符号链接中的漏洞来访问主机的根目录。(Citation: Windows Server Containers Are Open) 在 ESXi 环境中，攻击者可能利用漏洞从虚拟机逃逸到虚拟机监控程序。(Citation: Broadcom VMSA-2025-004) 获得对主机的访问权限可能为攻击者提供实现后续目标的机会，例如建立持久化、在环境中横向移动、访问主机上运行的其他容器或虚拟机，或在主机上设置命令与控制通道。