Docker组件间标准输入输出复制的DoS攻击分析

doi:10.11959/j.issn.2096-109x.2020074

网络与信息安全学报 ›› 2020, Vol. 6 ›› Issue (6): 45-56.doi: 10.11959/j.issn.2096-109x.2020074

• 专栏：网络应用与防护技术 • 上一篇下一篇

Docker组件间标准输入输出复制的DoS攻击分析

周天昱^1,²,申文博²(),杨男子³,李金库³,秦承刚⁴,喻望⁴

¹ 浙江大学NGICS大平台，浙江杭州 310027
² 浙江大学网络空间安全学院，浙江杭州 310027
³ 西安电子科技大学网络与信息安全学院，陕西西安710071
⁴ 蚂蚁科技集团股份有限公司，浙江杭州 310000

修回日期:2020-09-24 出版日期:2020-12-15 发布日期:2020-12-16
作者简介:周天昱（1995- ），男，浙江杭州人，浙江大学硕士生，主要研究方向为容器安全|申文博（1989- ），男，浙江大学研究员、博士生导师，主要研究方向为操作系统安全、容器安全、软件及系统攻防、硬件安全、程序分析|杨男子（1996- ），男，陕西咸阳人，西安电子科技大学硕士生，主要研究方向为容器安全|李金库（1976- ），男，河北保定人，西安电子科技大学教授、博士生导师，主要研究方向为系统与网络安全、移动安全、云计算及其安全|秦承刚（1983- ），男，江苏徐州人，主要研究方向为操作系统、系统安全|喻望（1986- ），男，重庆人，主要研究方向为Linux内核、安全容器技术
基金资助:
浙江省引进培育领军型创新创业团队(2018R01005);陕西省重点研发计划基金(2019ZDLGY12-06);浙江大学NGICS大平台

Analysis of DoS attacks on Docker inter-component stdio copy

Tianyu ZHOU^1,²,Wenbo SHEN²(),Nanzi YANG³,Jinku LI³,Chenggang QIN⁴,Wang YU⁴

¹ Zhejiang University NGICS Platform,Hangzhou 310027,China
² School of Cyber Science and Technology,Zhejiang University,Hangzhou 310027,China
³ School of Cyber Engineering,Xidian University,Xi'an 710071,China
⁴ Ant Financial Services Group,Hangzhou 310000,China

Revised:2020-09-24 Online:2020-12-15 Published:2020-12-16
Supported by:
Leading Innovative and Entrepreneur Team Introduction Program of Zhejiang Province(2018R01005);The Key R＆D Program of Shaanxi Province(2019ZDLGY12-06);Fundamental Research Funds for the Central Universities

摘要/Abstract

摘要：

近年来，Docker 技术因其部署灵活、可扩展性强，获得了大规模应用。Docker 采用模块化设计，在降低开发和维护的复杂性的同时引入了针对组件间通信的拒绝服务（DoS）攻击。在Docker容器内频繁进行stdout输出会引起Docker组件消耗大量CPU，造成DoS攻击。经过分析，可发现容器实例中的stdout输出会触发Docker各个组件的goroutine，进行频繁输出复制。为系统化地找出可被DoS攻击的goroutine创建的路径，提出使用静态分析的方法来分析Docker各组件，设计并实现了Docker组件静态分析框架，最后在Docker上进行了测试，成功分析得到了34条此类路径，其中22条路径经验证，可成功被动态触发。

关键词: 容器, Docker组件, DoS攻击, 静态分析

Abstract:

In recent years,Docker has been widely deployed due to its flexibility and high scalability.However,its modular design leads to the DoS attacks on inter-component communication.A new DoS attack that outputs to stdout,causing high CPU usages among different Docker components.Analysis shows that the stdout output triggers the goroutines of Docker components.To find all goroutines setup paths,using the static analysis method to analyze the Docker components systematically was proposed.A static analysis framework was designed and implemented,and evaluated on Docker source code.The results show that static analysis framework finds 34 paths successfully,while 22 of them are confirmed by runtime verification.

Key words: container, Docker components, DoS attack, static analysis

中图分类号:

TP393

周天昱,申文博,杨男子,李金库,秦承刚,喻望. Docker组件间标准输入输出复制的DoS攻击分析[J]. 网络与信息安全学报, 2020, 6(6): 45-56.

Tianyu ZHOU,Wenbo SHEN,Nanzi YANG,Jinku LI,Chenggang QIN,Wang YU. Analysis of DoS attacks on Docker inter-component stdio copy[J]. Chinese Journal of Network and Information Security, 2020, 6(6): 45-56.

图/表 11

图1

图2

图3

图4

图5

图6

图7

表1

表2

表3

图8

参考文献 17

[1]	MERKELD . Docker:lightweight Linux containers for consistent development and deployment[J]. Linux Journal, 2014(239):2.
[2]	SEYFRIED S , . Resource management in Linux with control groups[C]// Proceedings of the Linux-Kongress. 2010.
[3]	GAO X , GU Z S , LI Z F ,et al. Houdini′s escape:breaking the resource rein of Linux control groups[C]// Proceedings of the 2019 ACM SIGSAC Conference on Computer and Communications Security. 2019: 1073-1086.
[4]	BUI T . Analysis of docker security[J]. arXiv preprint arXiv:1501.02967, 2015
[5]	GUPTA U . Comparison between security majors in virtual machine and Linux containers[J]. arXiv preprint arXiv:1507.07816, 2015
[6]	BACIS E , MUTTI S , CAPELLI S ,et al. Docker policy modules:mandatory access control for docker containers[C]// 2015 IEEE Conference on Communications and Network Security (CNS). 2015: 749-750.
[7]	SMALLEY S , VANCE C,SALA-MON W . Implementing selinux as a linux security module[J]. NAI Labs Report, 2001,1(43):139.
[8]	COMBE T , MARTIN A , PIETRO R . To docker or not to docker:a security perspective[J]. IEEE Cloud Computing, 2016,3(5): 54-62.
[9]	CHELLADHURAI J , CHELLIAH P R , KUMAR A . Securing Docker containers from denial of service (DoS) attacks[C]// 2016 IEEE International Conference on Services Computing (SCC). 2016: 856-859.
[10]	SHU R , GU X H , ENCK W L . A study of security vulnerabilities on docker hub[C]// Proceedings of the Seventh ACM on Conference on Data and Application Security and Privacy. 2017: 269-280.
[11]	YASRAB R . Mitigating docker security issues[J]. arXiv preprint arXiv:1804.05039, 2018
[12]	JIAN Z Q , CHEN L . A defense method against docker escape attack[C]// Proceedings of the 2017 International Conference on Cryptography,Security and Privacy. 2017: 142-146.
[13]	ROSENR , . Namespaces and cgroups,the basis of Linux containers[C]// Proceedings of the NetDev. 2016.
[14]	王鹃, 胡威, 张雨菡 ,等. 基于Docker的可信容器[J]. 武汉大学学报(理学版), 2017,63(2): 102-108.
	WANG J , HU W , ZHANG Y H ,et al. Trusted container based on Docker[J]. Journal of Wuhan University (Natural Science Edition), 2017,63(2): 102-108.
[15]	LIN X , LEI L G , WANG Y W ,et al. A measurement study on linux container security:attacks and countermeasures[C]// Proceedings of the 34th Annual Computer Security Applications Conference. 2018: 418-429.
[16]	PRABHAKARR , KUMARR . Concurrent programming with go[R]. 2011.
[17]	LOPES B C , AULERR . Getting started with LLVM core libraries[M]. Packt Publishing Ltd, 2014.

组件IR（.bc）	版本	源代码行数	IR大小/MB
docker-cli	19.03.09	76 374	473
dockerd	19.03.09	192 415	533
containerd	1.2.13	98 593	236
containerd-shim	1.2.13	7 704	27

组件IR（.bc）	涵盖函数	组件内路径数目/条
docker-cli	47	12
dockerd	82	71
containerd-shim	25	30
总计	154	113

goroutine	docker-cli中对应路径	经过动态运行验证成功触发的路径	准确率
goroutine₁	12	8	66.7%
goroutine₂	13	8	61.5%
goroutine₃	9	6	66.7%
总计	34	22	64.7%

Docker组件间标准输入输出复制的DoS攻击分析

Analysis of DoS attacks on Docker inter-component stdio copy

在线阅读

pdf下载

可视化

摘要/Abstract

引用本文

使用本文

图/表 11

参考文献 17

相关文章 13

Metrics

推荐阅读 0

[1]	李凌书, 邬江兴, 曾威, 刘文彦. 容器云中基于信号博弈的容器迁移与蜜罐部署策略[J]. 网络与信息安全学报, 2022, 8(3): 87-96.
[2]	李丽娟, 李曼, 毕红军, 周华春. 基于混合深度学习的多类型低速率DDoS攻击检测方法[J]. 网络与信息安全学报, 2022, 8(1): 73-85.
[3]	季一木, 杨卫东, 李奎, 刘尚东, 刘强, 邵思思, 尤帅, 黄乃娇. 基于主机系统调用频率的容器入侵检测方法[J]. 网络与信息安全学报, 2021, 7(4): 18-29.
[4]	曾威, 扈红超, 李凌书, 霍树民. 容器云中基于Stackelberg博弈的动态异构调度方法[J]. 网络与信息安全学报, 2021, 7(3): 95-104.
[5]	超凡, 杨智, 杜学绘, 韩冰. 基于多因素聚类选择的Android应用程序分类风险评估方法[J]. 网络与信息安全学报, 2021, 7(2): 161-173.
[6]	超凡,杨智,杜学绘,孙彦. 基于深度神经网络的Android恶意软件检测方法[J]. 网络与信息安全学报, 2020, 6(5): 67-79.
[7]	尹小康,刘鎏,刘龙,刘胜利. PPC和MIPS指令集下二进制代码中函数参数个数的识别方法[J]. 网络与信息安全学报, 2020, 6(4): 95-103.
[8]	张斌,刘自豪,董书琴,李立勋. 基于偏二叉树SVM多分类算法的应用层DDoS检测方法[J]. 网络与信息安全学报, 2018, 4(3): 24-34.
[9]	张东,张尧,刘刚,宋桂香. 基于机器学习算法的主机恶意代码检测技术研究[J]. 网络与信息安全学报, 2017, 3(7): 25-32.
[10]	孙博文,黄炎裔,温俏琨,田斌,吴鹏,李祺. 基于静态多特征融合的恶意软件分类方法[J]. 网络与信息安全学报, 2017, 3(11): 68-76.
[11]	陈飞,毕小红,王晶晶,刘渊. DDoS攻击防御技术发展综述[J]. 网络与信息安全学报, 2017, 3(10): 16-24.
[12]	邢月秀,胡爱群,王永剑,赵然. 多维度iOS隐私泄露评估模型研究[J]. 网络与信息安全学报, 2016, 2(4): 73-79.
[13]	陈佳,郭山清. 面向服务端私有Web API的自动发现技术研究[J]. 网络与信息安全学报, 2016, 2(12): 27-38.