Bad Pods

विभिन्न उन्नत विशेषाधिकारों वाले पॉड्स बनाने वाले मैनिफेस्ट का एक संग्रह। hostNetwork, hostPID, hostPath, hostIPC, और privileged जैसी सुरक्षा-संवेदनशील पॉड विशेषताओं को अनुमति देने के प्रभाव को तुरंत प्रदर्शित करता है।

अतिरिक्त पृष्ठभूमि के लिए, हमारा ब्लॉग पोस्ट देखें: Bad Pods: Kubernetes Pod Privilege Escalation.

सामग्री

• Bad Pods की सूची
• पूर्वापेक्षाएँ
• संगठन
• उपयोग
  • उच्च-स्तरीय दृष्टिकोण
  • उपयोग उदाहरण
    • क्लोन की गई स्थानीय रिपॉजिटरी से सभी आठ Bad Pods बनाएँ
    • GitHub से सभी आठ Bad Pods बनाएँ
    • सभी आठ रिवर्स शेल Bad Pods बनाएँ
    • everything-allowed पॉड का उपयोग करके सभी आठ संसाधन प्रकार बनाएँ
    • hostNetwork पॉड के साथ एक cronjob बनाएँ
    • priv-and-hostpid पॉड के साथ एक deployment बनाएँ
    • privileged पॉड का उपयोग करके एक रिवर्स शेल बनाएँ
• आभार
• संदर्भ और आगे की पढ़ाई

Bad Pods की सूची

नीचे दिया गया प्रत्येक लिंक विस्तृत उपयोग जानकारी और पोस्ट-एक्सप्लॉइटेशन अनुशंसाएँ प्रदान करता है।

• Bad Pod #1: सब कुछ अनुमत
• Bad Pod #2: विशेषाधिकार प्राप्त और hostPid
• Bad Pod #3: केवल विशेषाधिकार प्राप्त
• Bad Pod #4: केवल hostPath
• Bad Pod #5: केवल hostPid
• Bad Pod #6: केवल hostNetwork
• Bad Pod #7: केवल hostIPC
• Bad Pod #8: कुछ भी अनुमत नहीं

पूर्वापेक्षाओं, रिपॉजिटरी संगठन और सामान्य उपयोग पैटर्न के बारे में अधिक सामान्य जानकारी के लिए, नीचे दिए गए अनुभाग देखें।

पूर्वापेक्षाएँ

1. क्लस्टर तक पहुँच
2. कम से कम एक नेमस्पेस में निम्नलिखित संसाधन प्रकारों में से एक बनाने की RBAC अनुमति:
   • CronJob, DeamonSet, Deployment, Job, Pod, ReplicaSet, ReplicationController, StatefulSet
3. पॉड्स में exec करने की RBAC अनुमति, या एक नेटवर्क पॉलिसी जो किसी पॉड से आप तक रिवर्स शेल पहुँचने की अनुमति देती है।
4. कोई pod security policy प्रवर्तन नहीं, या ऐसी पॉलिसी जो एक या अधिक सुरक्षा-संवेदनशील विशेषताओं वाले पॉड्स को बनाने की अनुमति देती है

संगठन

• 128 स्व-निहित, उपयोग के लिए तैयार मैनिफेस्ट। इतने सारे क्यों?
  • 8 Bad Pods (hostpid, hostnetwork, everything-allowed, आदि)
  • 8 संसाधन प्रकार जो पॉड बना सकते हैं (pod, deployment, replicaset, statefulset, आदि)
  • बनाए गए पॉड्स तक पहुँचने के 2 तरीके (exec और रिवर्स शेल)

├── manifests
│   ├── everything-allowed
│   │   ├── cronjob
│   │   │   ├── everything-allowed-exec-cronjob.yaml
│   │   │   └── everything-allowed-revshell-cronjob.yaml
│   │   ├── daemonset
│   │   │   ├── everything-allowed-exec-daemonset.yaml
│   │   │   └── everything-allowed-revshell-daemonset.yaml
│   │   ├── deployment
│   │   │   ├── everything-allowed-exec-deployment.yaml
│   │   │   └── everything-allowed-revshell-deployment.yaml
│   │   ├── job
│   │   │   ├── everything-allowed-exec-job.yaml
│   │   │   └── everything-allowed-revshell-job.yaml
│   │   ├── pod
│   │   │   ├── everything-allowed-exec-pod.yaml
│   │   │   └── everything-allowed-revshell-pod.yaml
│   │   ├── replicaset
│   │   │   ├── everything-allowed-exec-replicaset.yaml
│   │   │   └── everything-allowed-revshell-replicaset.yaml
│   │   ├── replicationcontroller
│   │   │   ├── everything-allowed-exec-replicationcontroller.yaml
│   │   │   └── everything-allowed-revshell-replicationcontroller.yaml
│   │   └── statefulset
│   │       ├── everything-allowed-exec-statefulset.yaml
│   │       └── everything-allowed-revshell-statefulset.yaml
│   ├── hostipc
│   │   ├── cronjob
│   │   │   ├── hostipc-exec-cronjob.yaml
│   │   │   └── hostipc-revshell-cronjob.yaml
│   │   ├── daemonset
│   │   │   ├── hostipc-exec-daemonset.yaml
│   │   │   └── hostipc-revshell-daemonset.yaml
...omitted for brevity...

पॉड बनाने के आठ तरीके हैं

जैसा कि Eviatar Gerzi (@g3rzi) पोस्ट Eight Ways to Create a Pod में बताते हैं, ऐसे 8 अलग-अलग कंट्रोलर हैं जो एक पॉड या पॉड्स का एक सेट बना सकते हैं। हो सकता है कि आपको पॉड बनाने का अधिकार न हो, लेकिन शायद आप कोई दूसरा संसाधन प्रकार बना सकते हैं जो एक या अधिक पॉड बनाएगा। प्रत्येक badPod प्रकार के लिए, ऐसे मैनिफेस्ट हैं जो सभी आठ संसाधन प्रकारों के अनुरूप हैं।

लेकिन रुकिए, यह और बदतर हो जाता है! पॉड बना सकने वाले आठ मौजूदा Kubernetes कंट्रोलरों के अलावा, थर्ड-पार्टी कंट्रोलर भी हैं जो क्लस्टर पर लागू किए जाने पर पॉड बना सकते हैं। kubectl api-resources देखकर उन पर नज़र रखें।

रिवर्स शेल

हालाँकि यह सामान्य है, लेकिन हमेशा ऐसा नहीं होता कि आप उन पॉड्स में exec कर सकते हैं जिन्हें आप बना सकते हैं। ऐसी स्थितियों में मदद के लिए, प्रत्येक मैनिफेस्ट का एक संस्करण शामिल किया गया है जो Rory McCune's (@raesene) ncat dockerhub इमेज का उपयोग करता है। बनाए जाने पर, पॉड आपके listener पर एक एन्क्रिप्टेड कॉलबैक करेगा।

उपयोग

manifests निर्देशिका में प्रत्येक संसाधन एक विशिष्ट विशेषता या विशेषताओं के संयोजन को लक्षित करता है, जो अनुमति दिए जाने पर क्लस्टर को जोखिम में डालते हैं।

उच्च-स्तरीय दृष्टिकोण

विकल्प 1: व्यवस्थित दृष्टिकोण

1. RBAC का मूल्यांकन करें - निर्धारित करें कि आप कौन से संसाधन प्रकार बना सकते हैं
2. Admission Policy का मूल्यांकन करें - निर्धारित करें कि आप कौन से Bad Pods बना पाएँगे
3. संसाधन बनाएँ - जो भी अनुमत है, उसके आधार पर विशिष्ट badPod प्रकार और संसाधन प्रकार का उपयोग करके अपने संसाधन बनाएँ
4. पोस्ट एक्सप्लॉइटेशन - उस प्रकार के लिए README में उल्लिखित पोस्ट-एक्सप्लॉइटेशन चरणों का मूल्यांकन करें
   • सब कुछ अनुमत
   • विशेषाधिकार प्राप्त और hostPid
   • केवल विशेषाधिकार प्राप्त
   • केवल hostPath
   • केवल hostPid
   • केवल hostNetwork
   • केवल hostIPC
   • कुछ भी अनुमत नहीं