文章总结： 本文记录了一次内网K8S渗透测试实战过程，从前期发现heapdump信息泄露获取ShiroKey，到利用反序列化漏洞获取初始权限，再到内网扫描发现未授权的2379和6443端口，最终通过etcd获取Kubernetes敏感信息并使用kubectl进入容器获取执行权限，成功控制多个集群。
综合评分： 87
文章分类： 渗透测试,内网渗透,云安全,实战经验,漏洞分析
记录某系统实战内网K8S渗透
原创
zkaq – newugly
掌控安全EDU
2025年12月20日 15:01
江西
扫码领资料
获网安教程
本文由掌控安全学院 – newugly 投稿
来Track安全社区投稿~
千元稿费！还有保底奖励~（ https://bbs.zkaq.cn ）****
一、前期踩点
在完成前期信息收集后，发现目标系统可能存在安全隐患。
该系统基于 Spring 框架构建，使用 SpringBoot-Scan 和 YYBaby_v0.7_Spring_Scan 等工具对其进行目录扫描，最终确认系统存在 heapdump 信息泄露 问题。
将 heapdump 文件下载并进行内存分析后，在其中发现了应用配置中使用的 Shiro Key 等敏感信息。
随后使用 Shiro 反序列化相关工具对获取到的 Key 进行验证，确认其是否有效以及是否具备命令执行能力。在验证成功后，即可通过反序列化漏洞执行系统命令，进一步反弹 Shell 到自己的 VPS 上。取得初始权限后，可以搭建代理进入内网进行横向渗透，或直接上线 vShell 进一步搭建代理。此外，也可以借助自动化工具上传内存马，再通过 WebShell 管理工具进行连接。
一、内网k8s渗透
进入内网后，首先会对当前主机进行基础信息收集，包括查看网卡信息以确认可达的网段、当前用户所具备的权限，以及主机上运行的服务和应用情况。同时尝试查阅配置文件，重点关注其中是否包含账号密码、接口密钥等敏感信息。如果目标主机为 Windows 且具备外连能力，可以尝试开启并使用 RDP 进行远程连接，相比 Linux 系统，Windows 主机往往能够获取到更多有价值的信息和进一步利用的机会。最后，根据实际情况上传 fscan 等内网扫描工具，进行探测、扫描。
在扫描过程中发现 C 段中的一个 ip 存在 2379 端口和 6443 端口未授权，那么就可以直接拿到集群中的主机权限
第一步
etcdctl.exe --endpoints=目标 ip:2379 get / --prefix --keys-only | findstr secrets
从 etcd 中把所有配置项的“名字”都列出来，并筛选出和 secrets 相关的内容。这样做可以快速判断 etcd 里是否存放着 Kubernetes 的敏感信息，比如账号密码、Token 等，而不需要一开始就读取具体数据。
第二步
etcdctl.exe --endpoints=目标 ip:2379 get /registry/secrets/base-service/backuprecovery-admin-token-zltg8
连接目标主机上的 etcd 服务，并按照指定路径读取名为 backuprecovery-admin-token-zltg8 的 Secret 数据。这个 Secret 通常对应的是 Kubernetes 中某个 ServiceAccount 的访问凭据，里面往往包含 Token、证书等敏感信息。如果该命令能够成功返回结果，说明已经可以从 etcd 中直接获取集群的认证信息，后续即可利用这些 Token 访问 Kubernetes API Server，进一步枚举资源甚至控制整个集群
第三步
kubectl.exe --insecure-skip-tls-verify -s https://目标 ip:6443/ --token="获取到的token" get pods,svc --all-namespaces -o wide
在从 etcd 中拿到 ServiceAccount 的 Token 之后，使用 kubectl 携带该 Token 直接访问 Kubernetes 的 API Server。通过在命令中跳过 TLS 证书校验，成功连接到了集群，并一次性查看了所有命名空间下的 Pod 和 Service 信息。
第四步
kubectl.exe --insecure-skip-tls-verify -s https://目标ip:6443/ --token="获取到的token" exec -n base-service -it 服务name -- bash
在确认获取到的 Token 具备足够权限后，继续使用 kubectl exec 命令尝试进入集群内的容器。通过指定命名空间和目标服务对应的 Pod，并在跳过 TLS 校验的情况下执行交互式 Shell，成功进入了容器内部，获得了该服务运行环境的命令行权限。
通过上述攻击链，成功在 100 多个 Kubernetes 集群中获取了容器执行权限，部分集群进一步实现了节点级控制。
申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.
没看够~？欢迎关注！
分享本文到朋友圈，可以凭截图找老师领取
上千教程+工具+交流群+靶场账号哦
分享后扫码加我！
回顾往期内容
代理池工具撰写 | 只有无尽的跳转，没有封禁的IP！
点赞+在看支持一下吧~感谢看官老爷~
你的点赞是我更新的动力
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：掌控安全EDU zkaq – newugly《记录某系统实战内网K8S渗透》