当前位置： 首页 > news >正文

云安全—集群攻击入口攻与防

news 2026/2/8 23:06:38

0x00 前言

说到云安全肯定不能避免的是集群相关的内容，最出色的就是Kubernetes，也就是k8s。当然docker相关的内容也算是集群的一部分。但是docker容器本身的问题还是归属于容器本身。

0x01 概述

在集群攻击入口处的内容主要为：

  • 应用安全
  • 恶意镜像
  • K8s APi Server未授权访问
  • kubelet未授权访问
  • etcd未授权访问
  • Docker Daemon 公网暴露
  • Dashboard面板暴露
  • k8s configfile泄露
  • 私有镜像库暴露

0x02 应用安全

这里的应用安全实际上和云服务器的应用安全是一致的，都是针对传统web安全来说，因为部署在哪里都不能让应用安全，改变的是部署方式，并不是应用本身，所以传统web问题依然存在。

0x02 恶意镜像

这里的恶意镜像，通常指代的是docker恶意镜像，因为docker镜像的管理更加混乱，任意组织或者个人都可以上传自己制作的docker容器，那么这个问题就很严重，如果直接部署了存在恶意后门的镜像，或者监控等后门，那么去做这种容器的安全就没有任何意义。

那么应用而生的就是私有仓库，或者第三方提供安全检测的仓库，以及专门的容器检测工具。

通过私有库和容器检测工具进行风险排查和规避，通过第三方提供的安全库进行风险转移都是一个不错的选择。

这里不进行展开，会单独出一个docker容器检测，或者私有库搭建的内容

0x03 K8s APi Server未授权访问

通常使用 8080 和 6443 端口，将 “system:anonymous” 用户绑定到 “cluster-admin” 用户组，就可以创建特权容器。

0x04 kubelet未授权访问

kubelet 是 Kubernetes 集群中的一个组件，它负责管理节点上的容器。kubelet 会定期从 API Server 获取 Pod 的配置信息，并根据配置信息来启动、停止、重启容器以及监控容器的运行情况。kubelet 还负责节点的健康检查，当发现节点出现故障时，会向 Master 报告节点的状态，以便 Master 进行相应的调度。总之，kubelet 是 Kubernetes 集群中非常重要的一个组件。

1、认证为AlwaysAllow的时候此接口可未授权访问
2、10255端口出现的pod和node信息信息泄露问题

0x05 etcd未授权访问

etcd是一个开源的分布式键值对存储仓库，常用于分布式系统中的协调服务和共享配置。etcd使用Raft一致性算法来维护集群的一致性和高可用性，支持通过HTTP或gRPC接口进行访问和操作。它是Kubernetes等分布式系统的重要组件之一，用于存储集群的配置信息、状态信息、元数据等数据。

1、client-cert-auth未授权
2、2379公网泄露
3、cret证书泄露
4、client-cert-auth未授权

0x06 Docker Daemon 公网暴露

Docker Daemon 是 Docker 的后台进程，它监听 Docker API 请求并管理 Docker 镜像、容器、网络和数据卷等资源。Docker Daemon 运行在宿主机上，并负责执行用户提交的 Docker 命令，例如创建、启动、停止、删除容器，上传和下载镜像等。Docker CLI 客户端通过与 Docker Daemon 进行交互，将用户提交的命令转化为 API 请求，并将请求发送给 Docker Daemon 去处理。

docker daemon监听在/var/run/docker.sock中创建的unix socket，2375端口用于未认证的HTTP通信，2376用于可信HTTPS通信

Docker时默认会把2375端口对外开放

0x07 Dashboard面板暴露

Dashboard面板是一种可视化的数据展示界面，可以展示各种类型的数据和分析结果。通常用于企业的数据分析和决策制定，可以提供实时的数据和反馈。Dashboard面板通常包括多个组件，如图表、计数器、地图和表格等，用户可以根据自己的需求自定义展示内容和排版布局。

当Dashboard面板暴露泄露的时候，Dashboard面板本身就会成为一个比较大的攻击面。

0x08 k8s configfile泄露

configfile作为K8s集群的管理凭证，其中包含有关K8s集群的详细信息,默认的 kubeconfig 文件 $HOME/.kube/config。

0x09 私有镜像库暴露

如果私有镜像库暴露的话，那么如果攻击者拥有了操作私有镜像的权限就可以上传恶意镜像，从而进行恶意攻击。

以上都是集群在初始访问阶段可能遇到的一些问题，如果有任何遗漏再进行补充，并且每一个部分都会单独形成一篇攻与防的文章，以及对一些工具的探讨和整合。

相关文章：

云安全—集群攻击入口攻与防

0x00 前言 说到云安全肯定不能避免的是集群相关的内容，最出色的就是Kubernetes，也就是k8s。当然docker相关的内容也算是集群的一部分。但是docker容器本身的问题还是归属于容器本身。 0x01 概述 在集群攻击入口处的内容主要为： 应用安全恶…...

编程日记 2023/10/22 6:05:02

“传统”开发与AI开发的区别与联系（更新了GPT3.5的反馈）

1、传统开发的算法和软件整体，也可以看成是一个“大模型”，其中有不同层次的处理，最终能够完成从输入到输出的计算，不过，其中的计算都是人工定义的，一般依赖于研究成果的应用。研究成果在实际中的应用处理。…...

编程日记 2023/10/22 6:04:01

Unity 文字显示动画(2)

针对第一版的优化，自动适配文字大小，TextMeshPro可以拓展各种语言。第一版字母类语言效果更好。 using System.Collections; using System.Collections.Generic; using TMPro; using UnityEngine; using UnityEngine.UI;public partial class TextBeat…...

编程日记 2023/10/22 6:02:59

力扣每日一题53：最大子数组和

题目描述： 给你一个整数数组 nums ，请你找出一个具有最大和的连续子数组（子数组最少包含一个元素），返回其最大和。 子数组 是数组中的一个连续部分。 示例 1： 输入：nums [-2,1,-3,4,-1,2,1,…...

编程日记 2023/10/22 6:01:58

图论04-【无权无向】-图的广度优先遍历

文章目录 1. 代码仓库2. 广度优先遍历图解3.主要代码4. 完整代码 1. 代码仓库 https://github.com/Chufeng-Jiang/Graph-Theory 2. 广度优先遍历图解 3.主要代码 原点入队列原点出队列的同时，将与其相邻的顶点全部入队列下一个顶点出队列出队列的同时，将…...

编程日记 2023/10/22 5:59:56

layui的一些问题

为什么table.render, ins1.config有时候获取的值是上一次的?例如ins1.conf.page.curr? 这是一段table.render代码 let ins1 table.render({...})一般情况下ins1.conf可以获得表格的当前页,页数等;但是有时候获得的页数是上一次的;主要是因为在table.reload后没有继续赋值的…...

编程日记 2023/10/22 5:58:55

设计模式_中介者模式

中介者模式 介绍 设计模式定义案例问题堆积在哪里解决办法中介者代替了多个对象之间的互动 使对象1 2 3 之间的互动 变为： 对象1->中介 对象2->中介 对象3->中介好友之间 约饭好友1 通知 好友2 -3 -4 等等加一个群 谁想吃饭就 通知一下 类图 代码 角色 …...

编程日记 2023/10/22 5:57:54

062：mapboxGL通过jumpTo方式跳转到某位置

第062个 点击查看专栏目录 本示例的目的是介绍演示如何在vue+mapbox中通过jumpTo方式跳转到某位置。 直接复制下面的 vue+mapbox源代码，操作2分钟即可运行实现效果 文章目录 示例效果配置方式示例源代码（共122行）相关API参考：专栏目标示例效果 配置方式 1）查看基础设置…...

编程日记 2023/10/22 5:56:53

学成在线第一天-课程内容管理服务搭建以及查询课程接口设计

目录 一、搭建课程内容管理服务 二、设计接口 三、面试题 四、总结 一、搭建课程内容管理服务 没什么好说的，直接就是创建内容模块 然后这个继承父模块，然后再课程内容模块下面创建三个子模块，model、sevice、controller model依赖base…...

编程日记 2023/10/22 5:55:51

4.7 IP多播

思维导图： **4.7.1 IP多播的基本概念** --- **1. 定义和背景** - IP多播：从一个源点发送信息至多个终点的技术。 - 1988年：Steve Deering首次提及IP多播。 - 1992年：IETF进行了首次IP多播试验，当时有20个网点参与。 …...

编程日记 2023/10/22 5:54:51

XML与html解析,区别,如何使用

目录 简介: HTML（超文本标记语言）： 如何使用HTML： XML（可扩展标记语言）： 如何使用XML： 区别： 简介: XML（可扩展标记语言）和 HTML&#xff…...

编程日记 2023/10/22 5:53:50

【广州华锐互动】利用VR开展建筑塔吊安全操作学习的好处？

随着科技的不断发展，虚拟现实（VR）技术已经逐渐渗透到各个领域，为人们的生活带来了前所未有的便利。在工程教育领域，VR建筑塔吊安全操作学习作为一种新型的教学手段，正逐渐成为提高教学质量和培养高素质工程…...

编程日记 2023/10/22 5:52:49

分享一下怎么开发一个陪诊小程序

开发一个陪诊小程序需要综合考虑许多方面，包括但不限于市场需求、用户体验、技术实现和运营策略。以下是一篇以开发陪诊小程序为主题的文章。 一、背景介绍 随着社会的发展和人口老龄化的加剧，越来越多的老年人、病患和孕妇需要就医，而由于各…...

编程日记 2023/10/22 5:50:47

从一道面试题开始学习C++标准库提供的并发编程工具

一个空列表，用两个函数（只可调用一次）轮流写入值（一个写奇数，一个写偶数）， 最终实现列表的值为1-100，有序排列。 简单分析：假设这两个函数分别为A和B，A函数往…...

编程日记 2023/10/22 5:49:45

第三章 内存管理 十三、页面置换算法（最佳置换算法、先进先出置换算法、最近最久未使用置换算法、时钟置换算法、改进型的时钟置换算法）

目录 一、定义 二、分类 1、最佳置换算法 / 最远置换算法（OPT，Optimal): 1.1、定义： 1.2、例子： 2、先进先出置换算法(FIFO）: 2.1、定义： 2.2、实现方法： 2.3、例子： 3、最…...

编程日记 2023/10/22 5:47:43

连接到EC2，开启root登录

1.启动完新实例，下载密钥对密钥对登录 ssh -i "ec2-user.pem" ec2-userec2-xx-xx-xx-xx.compute-1.amazonaws.com2.为root设置密码 sudo passwd root3.切换到root权限 su root4.修改ssh配置文件，允许密码登陆 vi /etc/ssh/sshd_config Pas…...

编程日记 2023/10/22 5:46:43

线性代数-Python-02：矩阵的基本运算 - 手写Matrix及numpy中的用法

文章目录 一、代码仓库二、矩阵的基本运算2.1 矩阵的加法2.2 矩阵的数量乘法2.3 矩阵和向量的乘法2.4 矩阵和矩阵的乘法2.5 矩阵的转置 三、手写Matrix代码Matrix.pymain_matrix.pymain_numpy_matrix.py 一、代码仓库 https://github.com/Chufeng-Jiang/Python-Linear-Algebra-…...

编程日记 2023/10/22 5:45:42

6.MySQL内置函数

个人主页：Lei宝啊 愿所有美好如期而遇 日期函数 current_date() 当前日期 select 可以做表达式和函数的计算。 current_time() 当前时间 current_timestamp() 当前日期加时间 注意：值得说明的是这三个函数底层调用的都是同一个函数，只不…...

编程日记 2023/10/22 5:44:40

3dmax中导出模型到unity注意事项

从3dmax中导出 1. 注意单位，根据需要，选英寸还是选厘米 2. 不能导出有错误的骨骼，否则导入后模型网格里出现 Skinned Mesh Renderer ，对网格变换移动有影响，正常情况下都应该是 Mesh Renderer 3. 导出一般不带光源和…...

编程日记 2023/10/22 5:43:38

QTday05（TCP的服务端客户端通信）

实现聊天室功能 服务端代码&#xff1a; pro文件需要导入 network 头文件&#xff1a; #ifndef WIDGET_H #define WIDGET_H#include <QWidget> #include <QTcpServer>//服务端 #include <QTcpSocket>//客户端 #include <QList> #include <QMes…...

编程日记 2023/10/22 5:42:37

华为云AI开发平台ModelArts

华为云ModelArts&#xff1a;重塑AI开发流程的“智能引擎”与“创新加速器”&#xff01; 在人工智能浪潮席卷全球的2025年&#xff0c;企业拥抱AI的意愿空前高涨&#xff0c;但技术门槛高、流程复杂、资源投入巨大的现实&#xff0c;却让许多创新构想止步于实验室。数据科学家…...

编程新知 2026/2/8 4:37:19

eNSP-Cloud(实现本地电脑与eNSP内设备之间通信)

说明&#xff1a; 想象一下&#xff0c;你正在用eNSP搭建一个虚拟的网络世界&#xff0c;里面有虚拟的路由器、交换机、电脑&#xff08;PC&#xff09;等等。这些设备都在你的电脑里面“运行”&#xff0c;它们之间可以互相通信&#xff0c;就像一个封闭的小王国。 但是&#…...

编程新知 2026/2/8 4:37:17

SciencePlots——绘制论文中的图片

文章目录 安装一、风格二、1 资源 安装 # 安装最新版 pip install githttps://github.com/garrettj403/SciencePlots.git# 安装稳定版 pip install SciencePlots一、风格 简单好用的深度学习论文绘图专用工具包–Science Plot 二、 1 资源 论文绘图神器来了&#xff1a;一行…...

编程新知 2025/9/8 13:50:07

LeetCode - 394. 字符串解码

题目 394. 字符串解码 - 力扣&#xff08;LeetCode&#xff09; 思路 使用两个栈&#xff1a;一个存储重复次数&#xff0c;一个存储字符串 遍历输入字符串&#xff1a; 数字处理&#xff1a;遇到数字时&#xff0c;累积计算重复次数左括号处理&#xff1a;保存当前状态&a…...

编程新知 2026/1/25 10:09:59

ffmpeg（四）：滤镜命令

FFmpeg 的滤镜命令是用于音视频处理中的强大工具&#xff0c;可以完成剪裁、缩放、加水印、调色、合成、旋转、模糊、叠加字幕等复杂的操作。其核心语法格式一般如下&#xff1a; ffmpeg -i input.mp4 -vf "滤镜参数" output.mp4或者带音频滤镜&#xff1a; ffmpeg…...

编程新知 2026/2/4 23:47:47

CRMEB 框架中 PHP 上传扩展开发：涵盖本地上传及阿里云 OSS、腾讯云 COS、七牛云

目前已有本地上传、阿里云OSS上传、腾讯云COS上传、七牛云上传扩展 扩展入口文件 文件目录 crmeb\services\upload\Upload.php namespace crmeb\services\upload;use crmeb\basic\BaseManager; use think\facade\Config;/*** Class Upload* package crmeb\services\upload* …...

编程新知 2025/12/30 22:56:56

分布式增量爬虫实现方案

之前我们在讨论的是分布式爬虫如何实现增量爬取。增量爬虫的目标是只爬取新产生或发生变化的页面&#xff0c;避免重复抓取&#xff0c;以节省资源和时间。 在分布式环境下&#xff0c;增量爬虫的实现需要考虑多个爬虫节点之间的协调和去重。 另一种思路&#xff1a;将增量判…...

编程新知 2026/2/6 1:18:56

关键领域软件测试的突围之路：如何破解安全与效率的平衡难题

在数字化浪潮席卷全球的今天&#xff0c;软件系统已成为国家关键领域的核心战斗力。不同于普通商业软件&#xff0c;这些承载着国家安全使命的软件系统面临着前所未有的质量挑战——如何在确保绝对安全的前提下&#xff0c;实现高效测试与快速迭代&#xff1f;这一命题正考验着…...

编程新知 2026/1/27 13:20:11

【Go语言基础【13】】函数、闭包、方法

文章目录 零、概述一、函数基础1、函数基础概念2、参数传递机制3、返回值特性3.1. 多返回值3.2. 命名返回值3.3. 错误处理 二、函数类型与高阶函数1. 函数类型定义2. 高阶函数&#xff08;函数作为参数、返回值&#xff09; 三、匿名函数与闭包1. 匿名函数&#xff08;Lambda函…...

编程新知 2025/12/8 19:02:25

[ACTF2020 新生赛]Include 1(php://filter伪协议)

题目 做法 启动靶机&#xff0c;点进去 点进去 查看URL&#xff0c;有 ?fileflag.php说明存在文件包含&#xff0c;原理是php://filter 协议 当它与包含函数结合时&#xff0c;php://filter流会被当作php文件执行。 用php://filter加编码&#xff0c;能让PHP把文件内容…...

编程新知 2026/1/30 2:28:32