家人们谁懂啊，要是早点部署牧云，就少发几个W赏金了！

最近我一直关注这个洞，因为提示了太多云上刷赏金的思路，参考

https://www.wiz.io/blog/brokensesame-accidental-write-permissions-to-private-registry-allowed-potential-r

在原文中，作者分享了两个案例：ApsaraDB RDS for PostgreSQL 和 AnalyticDB for PostgreSQL。两个案例的第一步均为容器提权：从普通账户提权至更高的权限。在这一步中，两个案例分别用到了不同的攻击链路：

• cron定时任务'/usr/bin/tsar' -> 高权限执行的二进制文件 -> 可修改的动态链接库 -> 覆盖链接库 -> 定时任务出发执行获取root权限。

• 容器共享目录 -> 业务特性导致任意文件读取（符号链接）-> 获取到另一个容器的读取下权限。

针对这两个风险点，传统的HIDS文件监控即可覆盖到该层面。除此之外，对于添加进入定时任务的二进制程序，应该严格限制其权限，包括动态链接库文件。

在第二条链路中，我们发现实际上业务在设计架构模式上时，使用了共享容器的目录来实现通信；但业务代码并没有考虑符号链接的场景，导致了第二个文件下的任意文件读取。

整体来看，链路1和链路2分别属于的HIDS主机监控/黑白盒业务安全扫描的范畴，说明即使在云场景下，传统的业务安全依旧处于重要地位。

获取到容器root权限后，下一步便是朝着宿主机进行攻击，同样是两条链路：

• 共享pid namespcae -> 监听发现共享的挂载目录'/home/adbpgadmin' -> 植入ssh/config获取容器B权限 -> 通过容器B的docker.sock 逃逸至宿主机。

• 由提权过程中的任意文件读取获取到业务代码 -> 代码审计发现命令注入 -> 通过命令注入获取到特权容器的shell -> 通过core_pattern实现容器逃逸。

在这两条链路中，攻击者使用了两种不同的逃逸方式：共享namespace导致攻击者获取到更多信息、挂载docker.sock导致逃逸、特权容器复写core_pattern导致逃逸；这几种方式是云环境中比较经典的逃逸场景，使得容器绕过各种隔离限制，对容器外的宿主机或其他容器的资源进行操作。

如何对容器逃逸进行防御？传统的业务安全和主机安全并没有针对主机cgroups和namespace的防御设计；结合云原生的架构模式，可以在两个环节建设容器逃逸检测。

结合这两点，可以做到对逃逸风险的有效控制，防止攻击者进一步的攻击行为。

在实现逃逸后，获取到的数据就越来越宽泛。

• 通过k8s节点存储凭证可获取各种敏感资源如secrets、configmaps。

• 通过imagePullSecrets获取到了私有镜像仓库权限。

• 环境变量中存储了access_keys等敏感信息。

• 其他用户的pod信息等。

可以看到，在实现了容器逃逸后，攻击者轻松从各种凭证信息实现横向扩散，包括各类敏感资源数据、镜像仓库权限等等；这好比在传统的渗透中，从DMZ区进入到了内网环境后，发现大多主机MS-17010通杀的场景；说明对于云环境下的节点管理，仍需要加强警惕，尤其是在容器逃逸防护较弱的场景下。

针对这部分横向移动与扩散的攻击行为，可以和容器逃逸一样分为两个方面进行防护：

回顾整条攻击链，我们可以总结以下几点：

传统的业务安全在云原生环境下依旧处于重要地位

回看整个攻击过程，所有的切入点仍然是一个容器服务。虽然容器提供了相对隔离的运行环境，但传统的业务安全如：web安全所导致的问题依旧作为了云安全事件中的切入点，其地位不亚于弱口令。

云环境的场景下，传统安全的危害效应将指数级放大

云环境中的配置复杂，一旦存在了配置不当的情况，攻击者便可以轻易的将攻击从一个容器扩散到一台主机、一个集群、甚至于多个集群、整个k8s环境。此时，作为入侵的入口导致的影响指数级上升。

云环境的场景下，容器逃逸是整个攻击链路的核心

在整个攻击的步骤中，我们可以总结出：攻击者获取到一个容器的最高权限后，必须千方百计的实现逃逸来绕过各种资源限制，才能够产生更为严重的影响；因此，云环境场景下，逃逸问题是连接传统安全与云安全的关键核心。

云环境对基础设施的监控、审计需求更加复杂和迫切

云计算的特性使得基础设施的边界变得模糊，资源的动态变化增加了管理和保护的难度，同时多租户环境下的安全性和合规性风险也需要得到充分的关注和解决，带有缺陷的隔离限制将轻易的导致用户数据泄露。

同时，我们也能看到，云环境的场景下，对于蓝军防守方，提供了一个新的思路：

针对对以上的问题，牧云·云原生安全平台提供了完整的监控与检测方案，深入监控了每一个容器的生命周期，在传统的 webshell、反弹 shell 等安全入侵能力检测上，结合云环境特点，实现了容器逃逸风险监测、集群日志审计等功能，帮助清晰明了的掌控集群的实时安全；当发生安全事件时，黑客的恶意行为和特征将会被检测与捕捉，实时反馈到平台中。

除此之外，为保证供应链安全，平台提供了定时任务机制和多种多样的资源集成，定时检测镜像仓库等远端资源，第一时间发现风险镜像，包括敏感信息泄漏、恶意文件、软件漏洞等问题。并通过配置可以阻断来自于该镜像的容器创建请求以及镜像构建请求，防止攻击扩散。

与此同时，平台还考虑了云场景下资源迭代的快速以及漏洞响应的及时性，设计了插件系统，结合开源社区安全检测能力的沉淀，能够快速赋能最新漏洞检测需求，并热更新于平台中，提供与时俱进的插拔式安全检测能力；如前一阵子出现的Minio漏洞（CVE-2023-28432），可以通过快速插入专项检测插件来实现 0 day 速查。

阅读原文