ehlxr/docker_practice
1
0
Fork 0
mirror of https://github.com/yeasy/docker_practice.git synced 2026-03-24 10:45:23 +00:00
Code Issues Projects Releases Wiki Activity

Remove blank lines after code block markers

Browse Source
This commit is contained in:
yeasy
2026-03-21 22:36:09 -07:00
parent 312f8fea42
commit 9ac19d79ee
132 changed files with 0 additions and 1517 deletions
Download Patch File Download Diff File Expand all files Collapse all files

2
18_security/18.4_kernel_capability.md
View File

@@ -36,7 +36,6 @@ $ docker run -d \
--cap-add NET_BIND_SERVICE \
nginx:alpine
```
这里的 `--cap-drop ALL` 是实现“特权最小化”的最强杀手锏。此时，即便某黑客利用 0-Day 手段拿到了 Web 服务的容器 root Shell，当他试图改变任何不属于他自己的进程配置或者所有权时，系统都会报错拒绝访问。
#### 实战场景二：需要捕获网络数据包的网络实验
@@ -52,7 +51,6 @@ $ docker run -it --rm \
--cap-add NET_RAW \
tshark-image /bin/bash
```
我们只授予了所需的网络管理控制（NET_ADMIN）和侦听底层套接字的权限（NET_RAW），而免去了赋予整个容器终极杀器 `--privileged` 参数。
> [!WARNING]