在Docker中运行漏洞Web应用开展安全测试是否安全，是否需要断网？

核心结论 #

将DVWA这类存在漏洞的Web应用部署在Docker中，无法完全规避被入侵的风险，也不能消除所有安全隐患，依然不建议暴露在公网环境下运行。

Docker的隔离能力边界 #

Docker本质是进程级虚拟化，和拥有独立内核的虚拟机不同，所有容器默认共享宿主机的操作系统内核，这个特性决定了它的隔离强度弱于虚拟机：

• 如果你启动容器时使用了--privileged特权参数、挂载了宿主机敏感目录（比如/root、/var/run/docker.sock）、或是使用了host网络模式，容器的隔离几乎等于失效。一旦容器内的漏洞应用被攻陷，攻击者可以直接获取宿主机的完全控制权限，和直接在宿主机运行漏洞应用没有本质区别。
• 即便是使用默认配置启动的无特权普通容器，也存在内核漏洞逃逸的可能。如果你的宿主机内核存在未修复的容器逃逸、本地提权类漏洞，攻击者拿到容器内的控制权限后，可以利用这类漏洞穿透到宿主机，获取宿主机的最高权限。

公网暴露的额外风险 #

哪怕你的Docker配置符合安全规范，暂时没有可被利用的逃逸漏洞，把漏洞靶场暴露在公网也会带来额外的安全问题：

• 公网上存在大量爬虫和自动化攻击工具，会不间断扫描全网IP的开放端口，你的靶场一旦暴露会立刻被盯上，攻击者除了尝试攻陷容器之外，还会顺带扫描你宿主机的其他端口、服务，等于主动给攻击者递了一个入侵的入口。
• 如果你只是本地用OWASP ZAP做工具评估，完全没有必要把靶场端口映射到公网网卡，启动容器时指定绑定本地环回地址即可，命令示例：docker run -p 127.0.0.1:8080:80 dvwa，不要直接用-p 8080:80的配置，后者会默认绑定到所有网卡，包括公网IP。

测试场景的安全配置建议 #

针对你做安全测试工具评估的场景，推荐按以下优先级配置环境，尽可能降低风险：

• 优先选择完全离线的本地环境测试，宿主机全程断开公网连接，从根源上杜绝外部攻击的可能。
• 如果不得不联网使用，严格限制靶场端口的访问范围，仅允许本地环回地址访问，不要对公网开放任何靶场相关的端口。
• 启动容器时不要添加--privileged参数，不要挂载宿主机的任何目录，不要使用host网络模式，使用Docker默认的bridge网络即可。
• 及时更新宿主机的系统和内核版本，修复所有已知的容器逃逸、提权类安全漏洞。
• 测试完成后立刻删除靶场容器，不要长期后台运行漏洞应用。

内容的提问来源于stack exchange，提问作者User021383