container-security-testing

Files (1)

• SKILL.md

SKILL.md (first lines)

# 容器安全深度攻防测试技能

> **AI LOAD INSTRUCTION**: 容器与 K8s 攻击专家打法。按已知前提：Docker/K8s 基础架构概念。聚焦立足点收集→逃逸路径判定（socket/特权/内核/runc CVE）→K8s API 攻击链→RBAC 滥用→eBPF 面，逃逸成功后按 DECISION TREE 移交承接 skill。

## 概述

容器化是现代应用的基础架构，其安全模型建立在**共享内核**之上——容器与宿主机之间只有 namespaces/cgroups 的软隔离，没有虚拟化边界。因此，任何内核漏洞、运行时缺陷或过度权限配置，本质上都是容器逃逸的潜在路径。本技能以资深攻防专家视角，系统化覆盖**镜像供应链→构建/CI-CD→运行时→网络→编排层（K8s）→宿主机→云凭据**的全栈攻击链，从"单容器逃逸"升级到"集群接管 + 云账号接管"的完整 kill chain。

### 核心概念

- **容器 ≠ VM**：共享宿主机内核，`/proc`、`/sys`、设备、capabilities、syscall 都是攻击面；逃逸的本质是跨越 namespace/cgroup 边界触达宿主机内核态或文件系统
- **逃逸三要素**：命名空间隔离（PID/MNT/NET/UTS/IPC/USER/CGROUP）、Linux capabilities（CAP_SYS_ADMIN/CAP_SYS_PTRACE/CAP_NET_ADMIN 等危险 CAP）、内核攻击面（syscall/驱动/eBPF）
- **K8s 信任边界**：Pod 内 ServiceAccount Token → API Server 认证/授权 → RBAC 权限是集群内提权的核心杠杆；Node（kubelet）是集群与宿主机之间的桥头堡
- **默认信任是最大的漏洞**：K8s 默认扁平网络（任意 Pod 互通）、默认挂载 SA Token、默认允许 root 运行，这些"默认"就是攻击路径
- **攻击链分层**：镜像投毒（供应链）→ 应用漏洞（入口）→ 容器逃逸（隔离突破）→ 节点沦陷（kubelet 凭据）→ 集群接管（RBAC/SA Token）→ 云凭据（元数据服务/IRSA/Workload Identity）

### 2025-2026 威胁态势（时效情报）

- **runc 逃逸三连**：CVE-2025-31133 / CVE-2025-52565 / CVE-2025-52881（2025-11 披露，2026-06 确认在野利用），影响 runc 1.0.0-rc3 起全部版本，`core_pattern` 内核 upcall 提权 → 宿主 root
- **nodes/proxy GET → 集群 RCE**：2026-01 披露（Won't Fix），监控组件普遍持有的 `nodes/proxy GET` 权限经 WebSocket 绕过 CREATE 检查直达 kubelet `/exec`，69 个 Helm Chart 受影响
- **镜像供应链投毒进入"安全工具自身被投毒"时代**：aquasec/trivy 官方镜像 0.69.4~0.69.6 被投毒（2026-03），窃取 CI/CD secrets 与云凭据
- **AI 基础设施裸奔**：全球约 17.5 万 Ollama 实例公网暴露（2026-early），91% 无认证；推理服务器（vLLM/LMDeploy/Triton/SGLang）成为新攻击面，LMDeploy CVE-2026-33626 披露 12 小时内被武器化
- **K8s 攻击面向配置组件集中**：ingress-nginx 配置注入系列 CVE 持续（CVE-2025-1974 / CVE-2026-3288 / CVE-2026-24512 等），Admission Controller 成为 RCE 跳板

## 一、镜像安全深度审计与供应链攻击

### 1.1 镜像层分析与漏洞扫描

```bash
# 镜像解包与逐层分析
docker save target:latest -o image.tar
tar -xf image.tar
# 逐层检查：manifest.json 列出 layer 顺序，逐层解包对比文件系统变更

# 漏洞扫描（多引擎交叉验证）
trivy image --severity HIGH,CRITICAL target:latest
trivy image --ignore-unfixed target:latest       # 只看有修复的
grype target:latest
docker scout cves target:latest                  # Docker 官方

# 敏感信息检测
docker history --no-trunc target:latest           # 查看每一层 RUN 指令（泄露密钥常见来源）
dive target:latest                                # 交互式逐层分析
trivy image --scanners secret,config target:latest  # 内置 secret 扫描

# 软件物料清单（SBOM）——供应链审计基线
syft target:latest -o spdx-json > sbom.json
trivy sbom sbom.json
```

### 1.2 Dockerfile 安全审计要点

```dockerfile
# 高风险模式（逐一核查）：
# 1. FROM 使用 root 基础镜像或 latest 浮动标签（不可复现）
# 2. ADD 远程 URL/自动解压（本地 tar 覆盖风险）
# 3. RUN 链式 && 中间残留密钥（多阶段构建清理）
# 4. 缺少 USER 非 root 指令（容器内 root = 逃逸放大器）
# 5. ENV/ARG 硬编码凭据（AK/SK、DB 密码、token）
# 6. 无 HEALTHCHECK/无 readOnlyRootFilesystem
# 7. .dockerignore 缺失（.env/.git/.ssh 被打进镜像）

# 静态审计工具
hadolint Dockerfile          # Dockerfile lint
dockle target:latest         # 容器镜像 CI 审计（CIS Docker Benchmark）
checkov -d .                 # IaC 安全扫描（含 Dockerfile/K8s Manifest/Helm）
```

### 1.3 镜像供应链攻击深度（联动 ci-cd-attack-testing）

```
攻击面全景：
1. 基础镜像投毒（Docker Hub 恶意/仿冒镜像，冒充 MySQL/Redis/Gradle 等）
2. 依赖包漏洞与依赖混淆（npm/pypi 同形字包名劫持）
3. 构建环境泄露（CI 流水线 secrets、.env、云端凭据被嵌入镜像层）
4. Dockerfile 注入（恶意 RUN 指令，如 cryptominer entrypoint）
5. Registry 未认证 push（获取目标仓库写权限后直接覆盖 tag）
6. 签名绕过（Notary/Cosign 校验缺失或 DCT 层篡改）
7. CI/CD 管道投毒（恶意构建阶段/依赖源替换/上游镜像 tag 漂移）
8. 安全工具自身被投毒（2026-03 aquasec/trivy 镜像事件：0.69.4~0.69.6/latest 被植入 infostealer，
   窃取 ~/.docker/config.json、云凭据、SSH key、CI/CD secrets；扫描器常挂载 docker.sock → 整机沦陷）
```

**镜像层后门——gh0stEdit（2025 披露）：**
利用 Docker 镜像分层/共享层机制，恶意篡改镜像层数据，**不改变镜像 history、层级结构**，且对 DCT 签名镜像**签名不失效**，静态/动态扫描工具均无法检出：

```bash
# 攻击思路（概念，授权测试用）：
# 1. 分析目标镜像 manifest，定位可篡改的共享 layer blob
# 2. 直接改写 layer 内文件（如 /etc/ld.so.preload、bashrc、entrypoint）但不触发重新提交
# 3. 保持 manifest/history 不变 → 签名校验通过 → 扫描器无感
# 防御：镜像准入校验须基于 digest（imagePullPolicy: Always + digest 引用）并做运行时基线对比
```

**供应链投毒检测命令：**
```bash
# 检查本地镜像是否命中已知被投毒 digest（Trivy 事件）
docker images --digests | grep -i trivy
# 已知恶意 digest（示例）：sha256:27f446230c60bbf0b70e008db798bd4f33b7826f9f76f756606f5417100beef3

# 校验镜像摘要而不是 tag（防 tag 漂移）
docker pull target:0.69.3@sha256:<digest>

# 检查镜像内是否有可疑的 entrypoint / 自动启动脚本
docker inspect target:latest --format '{{json .Config.Entrypoint}}'
docker run --rm --entrypoint cat target:latest /entrypoint.sh
```

### 1.4 签名验证与绕过

```bash
# Cosign 签名/验证
cosign sign --key cosign.key target:latest
cosign verify --key cosign.pub target:latest

# 绕过场景：
# - 集群未配置 ImagePolicyWebhook / Kyverno 校验 → 签名形同虚设
# - 签名只覆盖 manifest 不覆盖 blob → gh0stEdit 式层篡改
# - 使用 proxy-cache 镜像仓库时签名链断裂被绕过

From langbyyi/CyberStrikeAI-SRC, Apache-2.0.

More from langbyyi/CyberStrikeAI-SRC