当前位置： 首页 > news >正文

云安全—集群攻击入口攻与防

news 2026/2/7 13:05:16

0x00 前言

说到云安全肯定不能避免的是集群相关的内容，最出色的就是Kubernetes，也就是k8s。当然docker相关的内容也算是集群的一部分。但是docker容器本身的问题还是归属于容器本身。

0x01 概述

在集群攻击入口处的内容主要为：

  • 应用安全
  • 恶意镜像
  • K8s APi Server未授权访问
  • kubelet未授权访问
  • etcd未授权访问
  • Docker Daemon 公网暴露
  • Dashboard面板暴露
  • k8s configfile泄露
  • 私有镜像库暴露

0x02 应用安全

这里的应用安全实际上和云服务器的应用安全是一致的，都是针对传统web安全来说，因为部署在哪里都不能让应用安全，改变的是部署方式，并不是应用本身，所以传统web问题依然存在。

0x02 恶意镜像

这里的恶意镜像，通常指代的是docker恶意镜像，因为docker镜像的管理更加混乱，任意组织或者个人都可以上传自己制作的docker容器，那么这个问题就很严重，如果直接部署了存在恶意后门的镜像，或者监控等后门，那么去做这种容器的安全就没有任何意义。

那么应用而生的就是私有仓库，或者第三方提供安全检测的仓库，以及专门的容器检测工具。

通过私有库和容器检测工具进行风险排查和规避，通过第三方提供的安全库进行风险转移都是一个不错的选择。

这里不进行展开，会单独出一个docker容器检测，或者私有库搭建的内容

0x03 K8s APi Server未授权访问

通常使用 8080 和 6443 端口，将 “system:anonymous” 用户绑定到 “cluster-admin” 用户组，就可以创建特权容器。

0x04 kubelet未授权访问

kubelet 是 Kubernetes 集群中的一个组件，它负责管理节点上的容器。kubelet 会定期从 API Server 获取 Pod 的配置信息，并根据配置信息来启动、停止、重启容器以及监控容器的运行情况。kubelet 还负责节点的健康检查，当发现节点出现故障时，会向 Master 报告节点的状态，以便 Master 进行相应的调度。总之，kubelet 是 Kubernetes 集群中非常重要的一个组件。

1、认证为AlwaysAllow的时候此接口可未授权访问
2、10255端口出现的pod和node信息信息泄露问题

0x05 etcd未授权访问

etcd是一个开源的分布式键值对存储仓库，常用于分布式系统中的协调服务和共享配置。etcd使用Raft一致性算法来维护集群的一致性和高可用性，支持通过HTTP或gRPC接口进行访问和操作。它是Kubernetes等分布式系统的重要组件之一，用于存储集群的配置信息、状态信息、元数据等数据。

1、client-cert-auth未授权
2、2379公网泄露
3、cret证书泄露
4、client-cert-auth未授权

0x06 Docker Daemon 公网暴露

Docker Daemon 是 Docker 的后台进程，它监听 Docker API 请求并管理 Docker 镜像、容器、网络和数据卷等资源。Docker Daemon 运行在宿主机上，并负责执行用户提交的 Docker 命令，例如创建、启动、停止、删除容器，上传和下载镜像等。Docker CLI 客户端通过与 Docker Daemon 进行交互，将用户提交的命令转化为 API 请求，并将请求发送给 Docker Daemon 去处理。

docker daemon监听在/var/run/docker.sock中创建的unix socket，2375端口用于未认证的HTTP通信，2376用于可信HTTPS通信

Docker时默认会把2375端口对外开放

0x07 Dashboard面板暴露

Dashboard面板是一种可视化的数据展示界面，可以展示各种类型的数据和分析结果。通常用于企业的数据分析和决策制定，可以提供实时的数据和反馈。Dashboard面板通常包括多个组件，如图表、计数器、地图和表格等，用户可以根据自己的需求自定义展示内容和排版布局。

当Dashboard面板暴露泄露的时候，Dashboard面板本身就会成为一个比较大的攻击面。

0x08 k8s configfile泄露

configfile作为K8s集群的管理凭证，其中包含有关K8s集群的详细信息,默认的 kubeconfig 文件 $HOME/.kube/config。

0x09 私有镜像库暴露

如果私有镜像库暴露的话，那么如果攻击者拥有了操作私有镜像的权限就可以上传恶意镜像，从而进行恶意攻击。

以上都是集群在初始访问阶段可能遇到的一些问题，如果有任何遗漏再进行补充，并且每一个部分都会单独形成一篇攻与防的文章，以及对一些工具的探讨和整合。

相关文章：

云安全—集群攻击入口攻与防

0x00 前言 说到云安全肯定不能避免的是集群相关的内容，最出色的就是Kubernetes，也就是k8s。当然docker相关的内容也算是集群的一部分。但是docker容器本身的问题还是归属于容器本身。 0x01 概述 在集群攻击入口处的内容主要为： 应用安全恶…...

编程日记 2023/10/22 6:05:02

“传统”开发与AI开发的区别与联系（更新了GPT3.5的反馈）

1、传统开发的算法和软件整体，也可以看成是一个“大模型”，其中有不同层次的处理，最终能够完成从输入到输出的计算，不过，其中的计算都是人工定义的，一般依赖于研究成果的应用。研究成果在实际中的应用处理。…...

编程日记 2023/10/22 6:04:01

Unity 文字显示动画(2)

针对第一版的优化，自动适配文字大小，TextMeshPro可以拓展各种语言。第一版字母类语言效果更好。 using System.Collections; using System.Collections.Generic; using TMPro; using UnityEngine; using UnityEngine.UI;public partial class TextBeat…...

编程日记 2023/10/22 6:02:59

力扣每日一题53：最大子数组和

题目描述： 给你一个整数数组 nums ，请你找出一个具有最大和的连续子数组（子数组最少包含一个元素），返回其最大和。 子数组 是数组中的一个连续部分。 示例 1： 输入：nums [-2,1,-3,4,-1,2,1,…...

编程日记 2023/10/22 6:01:58

图论04-【无权无向】-图的广度优先遍历

文章目录 1. 代码仓库2. 广度优先遍历图解3.主要代码4. 完整代码 1. 代码仓库 https://github.com/Chufeng-Jiang/Graph-Theory 2. 广度优先遍历图解 3.主要代码 原点入队列原点出队列的同时，将与其相邻的顶点全部入队列下一个顶点出队列出队列的同时，将…...

编程日记 2023/10/22 5:59:56

layui的一些问题

为什么table.render, ins1.config有时候获取的值是上一次的?例如ins1.conf.page.curr? 这是一段table.render代码 let ins1 table.render({...})一般情况下ins1.conf可以获得表格的当前页,页数等;但是有时候获得的页数是上一次的;主要是因为在table.reload后没有继续赋值的…...

编程日记 2023/10/22 5:58:55

设计模式_中介者模式

中介者模式 介绍 设计模式定义案例问题堆积在哪里解决办法中介者代替了多个对象之间的互动 使对象1 2 3 之间的互动 变为： 对象1->中介 对象2->中介 对象3->中介好友之间 约饭好友1 通知 好友2 -3 -4 等等加一个群 谁想吃饭就 通知一下 类图 代码 角色 …...

编程日记 2023/10/22 5:57:54

062：mapboxGL通过jumpTo方式跳转到某位置

第062个 点击查看专栏目录 本示例的目的是介绍演示如何在vue+mapbox中通过jumpTo方式跳转到某位置。 直接复制下面的 vue+mapbox源代码，操作2分钟即可运行实现效果 文章目录 示例效果配置方式示例源代码（共122行）相关API参考：专栏目标示例效果 配置方式 1）查看基础设置…...

编程日记 2023/10/22 5:56:53

学成在线第一天-课程内容管理服务搭建以及查询课程接口设计

目录 一、搭建课程内容管理服务 二、设计接口 三、面试题 四、总结 一、搭建课程内容管理服务 没什么好说的，直接就是创建内容模块 然后这个继承父模块，然后再课程内容模块下面创建三个子模块，model、sevice、controller model依赖base…...

编程日记 2023/10/22 5:55:51

4.7 IP多播

思维导图： **4.7.1 IP多播的基本概念** --- **1. 定义和背景** - IP多播：从一个源点发送信息至多个终点的技术。 - 1988年：Steve Deering首次提及IP多播。 - 1992年：IETF进行了首次IP多播试验，当时有20个网点参与。 …...

编程日记 2023/10/22 5:54:51

XML与html解析,区别,如何使用

目录 简介: HTML（超文本标记语言）： 如何使用HTML： XML（可扩展标记语言）： 如何使用XML： 区别： 简介: XML（可扩展标记语言）和 HTML&#xff…...

编程日记 2023/10/22 5:53:50

【广州华锐互动】利用VR开展建筑塔吊安全操作学习的好处？

随着科技的不断发展，虚拟现实（VR）技术已经逐渐渗透到各个领域，为人们的生活带来了前所未有的便利。在工程教育领域，VR建筑塔吊安全操作学习作为一种新型的教学手段，正逐渐成为提高教学质量和培养高素质工程…...

编程日记 2023/10/22 5:52:49

分享一下怎么开发一个陪诊小程序

开发一个陪诊小程序需要综合考虑许多方面，包括但不限于市场需求、用户体验、技术实现和运营策略。以下是一篇以开发陪诊小程序为主题的文章。 一、背景介绍 随着社会的发展和人口老龄化的加剧，越来越多的老年人、病患和孕妇需要就医，而由于各…...

编程日记 2023/10/22 5:50:47

从一道面试题开始学习C++标准库提供的并发编程工具

一个空列表，用两个函数（只可调用一次）轮流写入值（一个写奇数，一个写偶数）， 最终实现列表的值为1-100，有序排列。 简单分析：假设这两个函数分别为A和B，A函数往…...

编程日记 2023/10/22 5:49:45

第三章 内存管理 十三、页面置换算法（最佳置换算法、先进先出置换算法、最近最久未使用置换算法、时钟置换算法、改进型的时钟置换算法）

目录 一、定义 二、分类 1、最佳置换算法 / 最远置换算法（OPT，Optimal): 1.1、定义： 1.2、例子： 2、先进先出置换算法(FIFO）: 2.1、定义： 2.2、实现方法： 2.3、例子： 3、最…...

编程日记 2023/10/22 5:47:43

连接到EC2，开启root登录

1.启动完新实例，下载密钥对密钥对登录 ssh -i "ec2-user.pem" ec2-userec2-xx-xx-xx-xx.compute-1.amazonaws.com2.为root设置密码 sudo passwd root3.切换到root权限 su root4.修改ssh配置文件，允许密码登陆 vi /etc/ssh/sshd_config Pas…...

编程日记 2023/10/22 5:46:43

线性代数-Python-02：矩阵的基本运算 - 手写Matrix及numpy中的用法

文章目录 一、代码仓库二、矩阵的基本运算2.1 矩阵的加法2.2 矩阵的数量乘法2.3 矩阵和向量的乘法2.4 矩阵和矩阵的乘法2.5 矩阵的转置 三、手写Matrix代码Matrix.pymain_matrix.pymain_numpy_matrix.py 一、代码仓库 https://github.com/Chufeng-Jiang/Python-Linear-Algebra-…...

编程日记 2023/10/22 5:45:42

6.MySQL内置函数

个人主页：Lei宝啊 愿所有美好如期而遇 日期函数 current_date() 当前日期 select 可以做表达式和函数的计算。 current_time() 当前时间 current_timestamp() 当前日期加时间 注意：值得说明的是这三个函数底层调用的都是同一个函数，只不…...

编程日记 2023/10/22 5:44:40

3dmax中导出模型到unity注意事项

从3dmax中导出 1. 注意单位，根据需要，选英寸还是选厘米 2. 不能导出有错误的骨骼，否则导入后模型网格里出现 Skinned Mesh Renderer ，对网格变换移动有影响，正常情况下都应该是 Mesh Renderer 3. 导出一般不带光源和…...

编程日记 2023/10/22 5:43:38

QTday05（TCP的服务端客户端通信）

实现聊天室功能 服务端代码&#xff1a; pro文件需要导入 network 头文件&#xff1a; #ifndef WIDGET_H #define WIDGET_H#include <QWidget> #include <QTcpServer>//服务端 #include <QTcpSocket>//客户端 #include <QList> #include <QMes…...

编程日记 2023/10/22 5:42:37

docker详细操作--未完待续

docker介绍 docker官网: Docker&#xff1a;加速容器应用程序开发 harbor官网&#xff1a;Harbor - Harbor 中文 使用docker加速器: Docker镜像极速下载服务 - 毫秒镜像 是什么 Docker 是一种开源的容器化平台&#xff0c;用于将应用程序及其依赖项&#xff08;如库、运行时环…...

编程新知 2026/2/5 4:33:24

python打卡day49

知识点回顾&#xff1a; 通道注意力模块复习空间注意力模块CBAM的定义 作业&#xff1a;尝试对今天的模型检查参数数目&#xff0c;并用tensorboard查看训练过程 import torch import torch.nn as nn# 定义通道注意力 class ChannelAttention(nn.Module):def __init__(self,…...

编程新知 2026/2/7 5:37:17

（十）学生端搭建

本次旨在将之前的已完成的部分功能进行拼装到学生端&#xff0c;同时完善学生端的构建。本次工作主要包括&#xff1a; 1.学生端整体界面布局 2.模拟考场与部分个人画像流程的串联 3.整体学生端逻辑 一、学生端 在主界面可以选择自己的用户角色 选择学生则进入学生登录界面…...

编程新知 2026/2/5 4:23:32

Spring Boot 实现流式响应（兼容 2.7.x）

在实际开发中&#xff0c;我们可能会遇到一些流式数据处理的场景&#xff0c;比如接收来自上游接口的 Server-Sent Events&#xff08;SSE&#xff09; 或 流式 JSON 内容&#xff0c;并将其原样中转给前端页面或客户端。这种情况下&#xff0c;传统的 RestTemplate 缓存机制会…...

编程新知 2025/8/11 8:18:44

centos 7 部署awstats 网站访问检测

一、基础环境准备&#xff08;两种安装方式都要做&#xff09; bash # 安装必要依赖 yum install -y httpd perl mod_perl perl-Time-HiRes perl-DateTime systemctl enable httpd # 设置 Apache 开机自启 systemctl start httpd # 启动 Apache二、安装 AWStats&#xff0…...

编程新知 2026/1/23 8:33:56

Spring Boot+Neo4j知识图谱实战：3步搭建智能关系网络！

一、引言 在数据驱动的背景下&#xff0c;知识图谱凭借其高效的信息组织能力&#xff0c;正逐步成为各行业应用的关键技术。本文聚焦 Spring Boot与Neo4j图数据库的技术结合&#xff0c;探讨知识图谱开发的实现细节&#xff0c;帮助读者掌握该技术栈在实际项目中的落地方法。 …...

编程新知 2025/9/17 21:39:04

第 86 场周赛：矩阵中的幻方、钥匙和房间、将数组拆分成斐波那契序列、猜猜这个单词

Q1、[中等] 矩阵中的幻方 1、题目描述 3 x 3 的幻方是一个填充有 从 1 到 9 的不同数字的 3 x 3 矩阵&#xff0c;其中每行&#xff0c;每列以及两条对角线上的各数之和都相等。 给定一个由整数组成的row x col 的 grid&#xff0c;其中有多少个 3 3 的 “幻方” 子矩阵&am…...

编程新知 2026/2/4 16:02:25

Redis数据倾斜问题解决

Redis 数据倾斜问题解析与解决方案 什么是 Redis 数据倾斜 Redis 数据倾斜指的是在 Redis 集群中&#xff0c;部分节点存储的数据量或访问量远高于其他节点&#xff0c;导致这些节点负载过高&#xff0c;影响整体性能。 数据倾斜的主要表现 部分节点内存使用率远高于其他节…...

编程新知 2026/1/27 19:28:11

短视频矩阵系统文案创作功能开发实践，定制化开发

在短视频行业迅猛发展的当下&#xff0c;企业和个人创作者为了扩大影响力、提升传播效果&#xff0c;纷纷采用短视频矩阵运营策略&#xff0c;同时管理多个平台、多个账号的内容发布。然而&#xff0c;频繁的文案创作需求让运营者疲于应对&#xff0c;如何高效产出高质量文案成…...

编程新知 2026/2/1 8:24:29

【JavaSE】多线程基础学习笔记

多线程基础 -线程相关概念 程序&#xff08;Program&#xff09; 是为完成特定任务、用某种语言编写的一组指令的集合简单的说:就是我们写的代码 进程 进程是指运行中的程序&#xff0c;比如我们使用QQ&#xff0c;就启动了一个进程&#xff0c;操作系统就会为该进程分配内存…...

编程新知 2025/9/12 0:57:34