BadPods项目深度挖掘can-they.sh脚本实现集群令牌自动化审计【免费下载链接】badPodsA collection of manifests that will create pods with elevated privileges.项目地址: https://gitcode.com/gh_mirrors/ba/badPodsBadPods项目是一个专注于Kubernetes安全审计的开源工具集通过精心设计的 manifests 文件创建具有提升权限的 Pod帮助安全团队评估集群配置风险。本文将深入解析项目中最核心的自动化审计工具——scripts/can-they.sh脚本展示其如何实现集群令牌权限的批量检测与分析。 为什么需要集群令牌审计在Kubernetes集群中服务账户令牌是Pod访问API服务器的核心凭证。一旦恶意Pod获取高权限令牌可能导致整个集群被接管。传统手动审计方法存在效率低、覆盖不全的问题而can-they.sh脚本通过自动化方式解决了这一痛点实现了令牌权限的快速枚举与安全评估。图1BadPods项目展示的五种典型特权访问风险PRIVILEGED、HOSTPID、HOSTPATH、HOSTNETWORK、HOSTIPC️ can-they.sh脚本核心功能解析can-they.sh是BadPods项目提供的命令行工具主要实现两大核心功能令牌自动发现通过扫描节点文件系统/var/lib/kubelet/pods/目录定位所有Pod的服务账户令牌权限批量检测使用每个令牌调用kubectl auth can-i命令评估其对集群资源的操作权限脚本支持两种运行模式分别适用于不同的渗透测试场景1️⃣ 内部Pod模式推荐场景当您已获得集群内Pod访问权限如通过everything-allowed或hostPath类型的恶意Pod可直接在Pod内执行# 基础权限列表查询 ./can-they.sh # 指定命名空间查询 ./can-they.sh -i --list -n kube-system # 特定操作权限检查 ./can-they.sh -i create pods -n kube-system2️⃣ 外部执行模式替代方案当拥有主机PID访问权限如priv-and-hostpid类型Pod可从集群外部执行# 基本语法 ./can-they.sh -n 命名空间 -p Pod名称 -i 权限检查参数 # 示例查询kube-system命名空间的secrets ./can-they.sh -n development -p priv-and-hostpid-exec-pod -i list secrets -n kube-system图2不同特权组合下的权限检测能力对比PRIVILEGED和HOSTPID为开启状态 脚本工作原理深度剖析can-they.sh的实现逻辑可分为四个关键步骤1. 环境检测与模式选择脚本通过检查KUBERNETES_SERVICE_HOST环境变量判断运行环境自动切换内部/外部模式function am-i-inside-pod-check { if [[ -z $KUBERNETES_SERVICE_HOST ]]; then echo It does not appear you are in a Kubernetes pod? usage fi }2. 令牌路径发现通过find命令扫描节点文件系统中的令牌链接文件# 内部模式令牌发现 tokensfind /host/var/lib/kubelet/pods/ -name token -type l # 外部模式令牌发现通过kubectl exec tokenskubectl exec -it $pod -n $namespace -- find /host/var/lib/kubelet/pods/ -name token -type l 2/dev/null3. 权限检查执行对每个发现的令牌使用kubectl auth can-i命令执行权限检查# 内部模式权限检查 kubectl --token$tokena auth can-i $user_input # 外部模式权限检查指定API服务器地址 kubectl --server$SERVER --insecure-skip-tls-verify --token$tokena auth can-i $user_input4. 结果输出与分析脚本会输出令牌位置及对应权限检查结果典型输出如下-------------------------------------------------------- Token Location: /host/var/lib/kubelet/pods/7f8d21b1-8c7e-4f3a-9b6d-1234567890ab/volumes/kubernetes.io~secret/default-token-xyz123/token Can I list secrets -n kube-system? yes图3HOSTPATH特权下的令牌路径发现示意图 典型使用场景与最佳实践场景1集群横向移动评估通过can-they.sh发现具有跨命名空间访问权限的令牌./can-they.sh -i list pods --all-namespaces场景2敏感操作权限审计检查是否存在可创建集群角色绑定的高权限令牌./can-they.sh -i create clusterrolebindings场景3命名空间隔离有效性验证验证特定命名空间的访问控制策略是否生效./can-they.sh -i --list -n production图4BadPods项目涵盖的五种核心特权配置维度 快速上手指南1. 获取项目代码git clone https://gitcode.com/gh_mirrors/ba/badPods cd badPods2. 部署测试环境根据测试需求部署相应的特权Pod例如kubectl apply -f manifests/everything-allowed/pod/everything-allowed-exec-pod.yaml3. 执行审计脚本# 复制脚本到目标Pod kubectl cp scripts/can-they.sh everything-allowed-exec-pod:/ # 进入Pod执行审计 kubectl exec -it everything-allowed-exec-pod -- bash chmod x can-they.sh ./can-they.sh -i list secrets -n kube-system 安全审计建议使用can-they.sh进行安全审计时建议遵循以下最佳实践最小权限原则仅在必要时使用特权Pod测试完成后立即清理全面覆盖检测结合多种特权配置如priv-and-hostpid、hostpath进行测试重点关注对象优先检查kube-system等核心命名空间的令牌权限自动化集成将脚本集成到CI/CD流程实现常态化权限审计图5遵循最小权限原则的安全配置所有特权均处于关闭状态 扩展资源项目 manifests 目录包含多种特权配置的Pod定义如 manifests/priv/脚本源码完整实现逻辑参见 scripts/can-they.sh场景化文档不同特权配置的使用说明如 manifests/everything-allowed/README.md通过can-they.sh脚本BadPods项目为Kubernetes安全审计提供了高效、自动化的解决方案。无论是安全团队进行渗透测试还是开发团队开展自查都能通过这个工具快速识别集群中的权限风险从而采取针对性的加固措施提升整体安全防护水平。【免费下载链接】badPodsA collection of manifests that will create pods with elevated privileges.项目地址: https://gitcode.com/gh_mirrors/ba/badPods创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考