一种容器无感的攻击者IP和命令执行回显方法和系统

摘要

本发明公开了一种容器无感的攻击者IP和命令记录回显方法及系统，所述方法包括如下步骤：在Linux系统内核中建立Kprobe模块，在所述Kprobe模块中挂载网络函数,记录网络函数调用过程，获取socketfd对应的IP以及pid、ns_pid、socketfd、ip对应的字典；在所述Kprobe模块中挂载execve函数，通过所述execve函数的调用获取进程树；建立Bash暗记模块，将Bash当前容器内的pid、执行内容和执行回显保存于容器内的日志文件中；将获取的容器内的pid进行namespace映射转化，生成在容器外宿主机层可见的pid，并将所述容器外宿主机层可见的pid和进程树中的pid对比，获取祖先进程pid；将祖先进程pid和所述pid、socketfd、ns_pid、ip对应的字典对比，匹配后获取对应的IP，根据所述namespace的映射关系无感知地获取bash执行日志。