docker scout是docker官方推出的静态镜像安全分析工具，通过扫描镜像层文件系统、提取组件指纹（如包名/版本、二进制哈希、路径特征、配置内容），并与cve库、恶意行为模式库比对，识别潜伏木马、后门及异常文件；其核心能力在于文件级风险检测（如非标路径可执行文件、高熵二进制、硬编码密钥）、sbom依赖分析、签名验证集成及策略驱动的ci/cd阻断。
Docker Scout（注意：官方名称是 Docker Scout，不是“Docker-Scan”）是 Docker 官方推出的镜像安全分析工具，它不直接运行在容器运行时，而是通过静态扫描镜像的各层文件系统，提取组件指纹（如二进制哈希、软件包名/版本、路径特征、配置文件内容等），再与漏洞库、恶意行为模式库比对，从而识别潜伏木马、后门或异常文件。
要利用 Docker Scout 发现潜伏木马，关键不在“运行时检测”，而在于从镜像层中识别可疑文件指纹与行为痕迹。以下是具体可行路径：
一、确认镜像来源可信并启用内容信任
木马常藏于非官方、被投毒的镜像中，第一步必须控制入口：
- 设置环境变量启用 Docker 内容信任：
export DOCKER_CONTENT_TRUST=1
- 拉取镜像时自动校验签名，拒绝未签名或签名失效的镜像：
docker pull nginx:alpine
若镜像无有效签名，命令会失败——这本身就能拦截大量已知恶意镜像。
二、用 docker scout cves 扫描已知漏洞组件
虽然 CVE 扫描主要针对已知漏洞，但很多木马依赖特定漏洞链（如 Log4j、Dirty Pipe）实现驻留。Scout 会：
- 解析每一镜像层的软件包清单（SBOM）
- 匹配 NVD、OSV、GitHub Advisory 等数据库中的已知风险组件
- 标出高危组件（如
libcurl4,python3.9,busybox）及其版本
示例命令：
docker scout cves your-app:latest --severity critical,high
若输出中出现 CVE-2023-27350（Alpine busybox 提权漏洞）或 CVE-2021-44228（Log4j RCE），说明该镜像层存在可被木马利用的温床。
三、用 docker scout quickview 或 Web 控制台查看文件级风险
Docker Scout 的深度能力体现在文件指纹分析上，尤其对以下木马常见痕迹敏感：
- 非标准路径下的可执行文件（如
/tmp/.x,/var/run/.sh） - 高熵值二进制（疑似加壳或混淆的恶意载荷）
- 敏感字符串硬编码（如
ssh-rsa AAAA...,BEGIN PRIVATE KEY,C2 domain:） - 异常权限文件（如
chmod +x /usr/bin/curl后篡改）
操作方式：
- 推送镜像至 Docker Hub（需仓库开启 Scout 分析）
- 登录 hub.docker.com，进入镜像仓库 → Scout 标签页
- 切换到 Files 或 Configuration 子页，查看 Scout 标记的「Suspicious file」或「Hardcoded secret」条目
✅ 小技巧：Scout 会为每个可疑文件生成 SHA256 指纹，并关联其所在镜像层 ID（如
sha256:abc123...），你可用docker save+tar -xO提取该层验证。
四、结合 docker history 和 dive 追溯可疑构建层
木马往往藏在某条 RUN 指令中（例如下载并静默执行脚本）：
docker history --no-trunc your-app:latest
重点关注：
- 命令中含
curl | sh、wget -qO-、base64 -d、echo ... | base64 -d >等组合 - 层大小异常（如一个
RUN产生 15MB 二进制，但没对应源码说明） -
CreatedBy字段被截断或显示#(nop) ...—— 可能是多阶段构建中故意隐藏
进一步用 dive 交互式查看每层文件变化：
dive your-app:latest
在界面中逐层浏览，观察是否出现：
- 新增的未知 ELF 文件（
file /bin/.hidden显示ELF 64-bit LSB pie executable） -
/etc/cron.d/下非预期定时任务 -
/root/.ssh/authorized_keys被注入公钥
不复杂但容易忽略
