Bypass-腾讯云开发者社区

开发者社区

文档建议反馈控制台

腾讯云架构师技术同盟

文章/答案/技术大牛

发布

Bypass

专栏成员

231

文章

619795

阅读量

62

订阅数

云原生安全攻防--快速识别虚拟机、Docker和K8s集群环境

虚拟机云原生容器安全集群

对于攻击者而言，随着云原生应用普及，当攻击者获得一个shell权限时，那么这个shell可能处于虚拟主机里，也有可能在一个Docker环境里，或者在K8s集群环境的一个pod里面。

2024-06-03

1810

《云原生安全攻防》-- 云原生攻防矩阵

容器安全配置权限云原生

在本节课程中，我们将开始学习如何从攻击者的角度思考，一起探讨常见的容器和K8s攻击手法，包含以下两个主要内容：

2024-04-16

3200

K8s攻击案例：组件未授权访问导致集群入侵

安全服务集群配置权限

K8s集群往往会因为组件的不安全配置存在未授权访问的情况，如果攻击者能够进行未授权访问，可能导致集群节点遭受入侵。比较常见的的组件未授权访问漏洞，主要包括 API Server 未授权访问、kubelet 未授权访问、etcd 未授权访问、kube-proxy 不安全配置、Dashboard未授权访问。

2024-01-01

2K0

K8s攻击案例：Privileged特权容器导致节点沦陷

容器插件集群权限系统

特权容器（Privileged Container）是一种比较特殊的容器，在K8s中运行特权容器，需要将 Privileged 设为 true ，容器可以执行几乎所有可以直接在主机上执行的操作。

2023-12-24

1.2K0

K8s攻击案例：RBAC配置不当导致集群接管

rbac 集群连接配置权限

Service Account本质是服务账号，是Pod连接K8s集群的凭证。在默认情况下，系统会为创建的Pod提供一个默认的Service Account，用户也可以自定义Service Account，与Service Account关联的凭证会自动挂载到Pod的文件系统中。

2023-12-24

3390

镜像安全扫描工具

容器安全工具镜像漏洞

镜像安全扫描是确保云原生环境安全非常重要和基础的一个环节，通过镜像安全扫描可以检测容器镜像中的漏洞，避免攻击者植入恶意代码，快速响应漏洞，从而降低安全风险。

2023-11-07

4610

Docker 恶意挖矿镜像应急实例

容器镜像服务容器程序镜像主机

当网络流量监控发现某台运行多个docker容器的主机主动连接到一个疑似挖矿矿池的地址时，需要快速响应和排查，以阻止进一步的损害。

2023-09-21

5230

如何从Docker镜像中提取恶意文件

容器镜像服务容器安全镜像文件系统

首先，需要从镜像运行启动一个容器，然后，使用docker cp命令从容器中提取文件到宿主机。

2023-09-12

3170

Docker镜像解析获取Dockerfile文件

容器镜像服务容器 dockerfile 镜像配置

当涉及到容器镜像的安全时，特别是在出现镜像投毒引发的安全事件时，追溯镜像的来源和解析Dockerfile文件是应急事件处理的关键步骤。在这篇博客中，我们将探讨如何从镜像解析获取Dockerfile文件，这对容器安全至关重要。

2023-09-12

1.9K0

Docker容器挖矿应急实例

容器镜像服务容器进程镜像漏洞

很多开源组件封装成容器镜像进行容器化部署在提高应用部署效率和管理便捷性的同时，也带来了一些安全挑战。一旦开源系统出现安全漏洞，基于资产测绘就很容易关联到开源组件，可能导致被批量利用。

2023-09-01

5850

K8s安全配置：CIS基准与kube-bench工具

容器安全工具集群配置

K8s集群往往会因为配置不当导致存在入侵风险，如K8S组件的未授权访问、容器逃逸和横向攻击等。为了保护K8s集群的安全，我们必须仔细检查安全配置。

2023-09-01

5920

容器环境检测方法总结

容器镜像服务容器进程文件系统虚拟机

在渗透测试过程中，我们的起始攻击点可能在一台虚拟机里或是一个Docker环境里，甚至可能是在K8s集群环境的一个pod里，我们应该如何快速判断当前是否在容器环境中运行呢？

2023-09-01

3800

Docker 容器入侵排查

容器镜像服务容器进程网络异常

随着越来越多的应用程序运行在容器里，各种容器安全事件也随之发生，例如攻击者可以通过容器应用获取容器控制权，利用失陷容器进行内网横向，并进一步逃逸到宿主机甚至攻击K8s集群。

2023-09-01

3510

巧用OpenSSH进行域内权限维持

openssh 登录服务器配置权限

最近在Windows服务器上安装OpenSSH，意外发现了一个很有意思的技巧，可用来做域内权限维持，废话不多说，直接上步骤。

2023-09-01

2530

基于AD Event日志监测域委派后门

访问管理网络安全安全

域委派是指将域内用户的权限委派给服务账号，使得服务账号能以用户权限开展域内活动。攻击者在获取到域控权限后，可以利用约束委派或者基于资源的约束委派实现后门，以实现达到维持权限的目的。

2023-02-18

4020

基于AD Event日志监测AdminSDHolder

安全网络安全

AdminSDHolder是一个特殊的AD容器，通常作为某些特权组成员的对象的安全模板。Active Directory将采用AdminSDHolder对象的ACL并定期将其应用于所有受保护的AD账户和组，以防止意外和无意的修改并确保对这些对象的访问是安全的。如果攻击者能完全控制AdminSDHolder，那么它就能同时控制域内的许多组，这可以作为域内权限维持的方法。

2023-02-18

2580

基于AD Event日志识别SID History后门

每个用户都有一个关联的安全标识符（SID），SID History的作用是在域迁移过程中保持域用户的访问权限，即如果迁移后用户的SID改变了，系统会将其原来的SID添加到迁移后用户的SID History属性中，使迁移后的用户保持原有权限、能够访问其原来可以访问的资源。当攻击者获得了域管理员权限，就可以将SID History作为实现持久化的方法。

2023-02-18

5770

基于AD Event日志识别Skeleton Key后门

网络安全安全

Skeleton Key(万能密码)，是一种可以对域内权限进行持久化的操作手法，通过将Skeleton Key注入到lsass进程，无需重启域控即可生效，而且能够在不影响当前域用户正常登录的情况下，让所有域用户使用同一个万能密码进行登录。另外，它只存在于内存中，如果域控制器重启，注入的 Skeleton Key 将会失效。

2023-02-18

4160

基于AD Event日志实时检测DSRM后门

每个域控制器都有一个目录还原模式（DSRM）帐户，它的密码是在安装域控时设置的，实际上它对应的就是sam文件里的本地管理员“administrator”，基本很少会被重置，因此有着极强的隐蔽性。攻击者通过获取域控的DSRM密码，就可以使用帐户通过网络登录到域控服务器，从而达到权限维持的目的。

2023-02-18

5180

基于AD Event日志监测域内信息探测行为

ip 日志分析事件

当攻击者获得内网某台域内服务器的权限，就会以此为起始攻击点，尽可能地去收集域的信息，以获取域控权限作为内网的终极目标。例如，攻击者会在内网中收集域管理员用户列表和特定敏感用户的信息，通过定位域管理员以找到最佳攻击路径，从而拿到域管理员权限。

2023-02-18

5110

点击加载更多

社区活动

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·干货材料·成员作品最新动态