本文介绍了作者团队通过逆向工程手段，成功解析了 Docker Sandbox 中未公开的 MicroVM API。该 API 用于管理轻量级虚拟机实例，支持沙箱隔离。文章详细描述了逆向过程、关键发现以及潜在的安全与兼容性影响。
核心要点
- Docker Sandbox 使用未公开的 MicroVM API 来管理沙箱环境，该 API 基于 gRPC 协议。
- 逆向工程揭示了 API 端点包括创建、销毁、快照和恢复 MicroVM 实例。
- 该 API 支持多种虚拟机监控器（VMM），如 Firecracker 和 Cloud Hypervisor。
- 未公开的 API 可能带来安全风险，如未授权访问或滥用。
- 作者提供了 API 文档和示例代码，帮助开发者理解和使用该接口。
正文
我们逆向工程了 Docker Sandbox 的未公开 MicroVM API。该 API 是 Docker 沙箱功能的核心，用于管理轻量级虚拟机实例，提供更强的隔离性。
通过分析 Docker 二进制文件和运行时行为，我们发现了基于 gRPC 的通信协议。API 端点包括：CreateVM、DestroyVM、SnapshotVM 和 RestoreVM，分别对应虚拟机的创建、销毁、快照和恢复操作。
该 API 支持多种虚拟机监控器（VMM），如 Firecracker 和 Cloud Hypervisor，并允许配置 CPU、内存和网络资源。我们成功实现了与 API 的交互，验证了其功能。
未公开的 API 可能带来安全风险，例如未授权访问或滥用。建议 Docker 官方尽快公开文档并加强访问控制。我们已发布逆向工程结果和示例代码，供社区参考。
关联概念
- Docker Sandbox
- MicroVM
- 逆向工程
- gRPC
- Firecracker
- Cloud Hypervisor
可操作项
- 使用 gRPCurl 或类似工具尝试连接 Docker Sandbox 的 MicroVM API 端点（默认端口 50051）。
- 参考我们发布的示例代码，编写脚本创建和销毁 MicroVM 实例。
- 检查 Docker 沙箱环境的安全性，确保 API 未暴露给未授权用户。
原文: We Reverse-Engineered Docker Sandbox's Undocumented MicroVM API
自动加工于 2026-05-21 20:51