Отладка distroless: ни шелла, ни exec — вносим свои инструменты в namespace'ы чужого контейнера

Почему exec падает: шелла там никогда не было, чтобы его найти

docker exec sh не вызывает шелл; он исполняет бинарник, который должен уже существовать в файловой системе контейнера. Distroless-образы (и на базе scratch, и большинство хорошо укреплённых) содержат только бинарник приложения и его рантайм-библиотеки — никакого /bin/sh, никакого busybox, никакого coreutils. Это отсутствие и есть фича безопасности: атакующий, добившийся RCE, не находит шелла для разворота, ни curl для эксфильтрации — почти нулевая поверхность атаки. Так что exec: "sh": executable file not found — не баг, а образ, работающий как задумано, и инструмент, к которому тянешься, должен уважать, что работающий контейнер остаётся немодифицированным.

Правильный примитив приносит инструменты, а не ищет их. docker debug (Docker Desktop / Pro) подключает эфемерный набор инструментов к работающему контейнеру, давая шелл-с-утилитами в namespace’ах цели без изменения её образа или ФС. В Kubernetes та же идея — kubectl debug -it <pod> --image=busybox --target=<container>: он поднимает эфемерный контейнер в поде, разделяющий PID- и сетевой namespace’ы цели, так что ваши busybox ps/curl/nc видят distroless-процесс и его сокеты напрямую. --target — самая важная часть: он входит в процессный namespace конкретного контейнера, так что ps показывает PID 1 приложения, а не только ваш debug-шелл. Ничто в образе приложения не меняется; вы подключаетесь, смотрите, отключаетесь, а эфемерный контейнер выбрасывается.

# Kubernetes: подключить busybox, разделяющий namespace'ы distroless-контейнера
kubectl debug -it payments-xyz --image=busybox:1.36 \
  --target=payments        # войти в PID + net namespace ЭТОГО контейнера

# Внутри: теперь есть инструменты, которых нет у distroless-образа
ps -ef                      # видеть PID 1 приложения, общий PID namespace
wget -qO- localhost:8080/health   # бить в порт приложения, общий net namespace

Когда контейнер уже мёртв: скопируй статический busybox или читай /proc/PID/root

Эфемерным debug-контейнерам нужна работающая цель, чтобы разделить namespace’ы. Если distroless-бинарник уже упал, подключаться не к чему — процесс и его namespace’ы исчезли. Два сеньорских хода закрывают пробелы:

• Для всё ещё работающего контейнера без доступного debug-инструментария: скопируйте внутрь самодостаточный статический бинарник и запустите, например docker cp busybox <ctr>:/busybox && docker exec <ctr> /busybox sh. Поскольку busybox слинкован статически, ему не нужны библиотеки из distroless-образа — он несёт всё с собой. Это затрагивает записываемый слой контейнера, поэтому это намеренная модификация на крайний случай, а не чистый путь эфемерного контейнера.
• Чтобы достать ФС контейнера с хоста: корень каждого работающего контейнера смонтирован на хосте по /proc/<PID-на-хосте>/root. С PID=$(docker inspect --format '{{.State.Pid}}' svc) команда sudo ls /proc/$PID/root/app даёт читать distroless-ФС — конфиг, бинарник, записанные файлы — инструментами хоста, вообще без шелла в контейнере. Так осматривают файлы бесшелльного образа, не входя в него.

Вместе эти два подхода закрывают всё, что открывает работающий бесшелльный контейнер: эфемерный контейнер видит процесс и сокеты, /proc/PID/root — файловую систему. Без эфемерного подхода остаётся жёсткий выбор: пересобирать образ (уничтожая состояние) или лететь вслепую.

Для самого краша отладка смещается влево и наружу: захватите core dump (задайте --ulimit core=... и хостовый core_pattern или пусть рантайм пишет dump в смонтированный том), чтобы segfault оставил артефакт для офлайн-анализа, и опирайтесь на запись движка — docker inspect State и docker events — раз мёртвый контейнер уже не войти никаким способом.