Kubernetes 渗透攻击手册

为什么需要这份手册

直接让通用模型“讲讲 Kubernetes 渗透”很容易得到浮于表面的答案。它会把 RBAC 当成一团权限配置，忽略命名空间范围和集群范围绑定在提权路径上的本质差别；会漏掉 Kubelet 未认证 API 这种攻击面，也会低估 etcd 快照、准入 Webhook 与云元数据服务串起来的后渗透链路。真正进入真实集群时，这些盲区往往会让红队浪费时间，或者漏掉关键突破口。

它覆盖哪些攻击面

这份技能把 Kubernetes 渗透拆成一组可操作的攻击面：

• API Server 访问：判断如何触达控制平面，并评估其认证与暴露情况。
• RBAC 提权：区分 ClusterRoleBinding、命名空间角色和聚合角色，寻找权限提升路径。
• Service Account 令牌滥用：分析 TokenRequest、长期凭证与自动挂载令牌的使用风险。
• etcd 密钥提取：通过只读快照或控制平面存储定位 Secrets 与集群状态。
• Kubelet API 利用：关注未认证或弱认证接口，避免遗漏容器执行和节点信息泄露。
• 云 IMDS 访问：串联 EKS、GKE、AKS 上的实例元数据服务，扩展云上凭据窃取路径。
• Admission Webhook 绕过：分析变更准入链上的校验漏洞和可绕过点。
• NetworkPolicy 规避：结合东西向流量与集群网络策略找出可穿越路径。

实际使用时怎么用

在拿到初始立足点后，可以先确认控制平面是否可达，再审计当前 ServiceAccount 绑定的权限范围；接着横向检查 Kubelet、etcd 与云元数据是否扩大了暴露面。当 Pod Security Standards、seccomp 或准入控制限制行动时，可结合容器逃逸、Linux 提权与横向移动技能继续推进。手册还提供相关技能的路由提示，方便在节点和集群之间建立完整的攻击链。

适用边界

这份技能是攻击方法论的导航手册，不是一键执行的漏洞扫描器。它不保证发现所有漏洞，也不替代 kube-bench、kube-hunter、静态审计和运行时检测；所有测试都必须在获得明确授权的环境中进行。