Getshell的七十二变：当传统漏洞遇上云原生环境

云原生技术的快速普及正在重塑安全攻防的格局。传统Getshell技术在容器化、微服务和无服务器架构中面临全新挑战，同时也催生出更多攻击面。本文将深入探讨云原生环境下的Getshell技术演进路径，为安全研究人员提供前沿的攻防视角。

1. 容器逃逸与K8s API Server的致命组合

容器逃逸一直是云原生安全的核心议题。当攻击者突破容器隔离限制后，未授权访问的K8s API Server往往成为通向集群控制的"黄金门票"。

典型攻击链：

1. 通过应用漏洞获取容器内shell
2. 探测容器运行时环境（Docker/containerd）
3. 利用下列任一技术实现逃逸：
   • 危险挂载（/var/run/docker.sock）
   • 特权容器滥用
   • CVE-2019-5736等运行时漏洞

# 检测Docker socket挂载
ls -la /var/run/ | grep docker.sock

# 如果可写，直接创建特权容器
docker -H unix:///var/run/docker.sock run -it --privileged --net=host -v /:/host alpine chroot /host

K8s API Server未授权利用：

攻击方式	所需权限	影响范围
创建恶意Pod	create pods	集群节点
读取Secret	get secrets	敏感配置
创建ServiceAccount	create serviceaccounts	持久化访问

注意：现代K8s集群默认启用RBAC，但配置错误仍普遍存在。攻击者常通过kubectl get pods --all-namespaces探测集群状态。

2. 无服务器架构下的文件上传新维度

Serverless架构通过事件驱动执行代码，传统文件上传漏洞在此环境中呈现出新特点：

函数即攻击面：

• 临时文件存储的持久化利用
• 环境变量中的敏感凭证
• 冷启动时的初始化漏洞

典型案例流程：

graph TD
    A[发现函数文件上传点] --> B[绕过内容检查]
    B --> C{存储位置}
    C -->|临时存储| D[利用竞争条件]
    C -->|持久存储| E[直接触发执行]

主流Serverless平台对比：

平台	临时存储	持久化存储	典型漏洞
AWS Lambda	/tmp	S3	IAM权限过度分配
Azure Functions	D:\local\Temp	Blob Storage	SAS令牌泄露
Google Cloud Functions	/tmp	Cloud Storage	函数调用权限配置错误

3. 云存储桶的间接Getshell路径

配置错误的云存储服务可能成为攻击跳板，形成"曲线救国"的攻击路径：

攻击模式分析：

1. 通过信息泄露发现存储桶（如GitHub搜索）
2. 利用开放权限写入Web资源
3. 结合其他漏洞触发执行

# AWS S3存储桶检测脚本示例
import boto3
from botocore.exceptions import ClientError

def check_bucket_permissions(bucket_name):
    s3 = boto3.client('s3')
    try:
        acl = s3.get_bucket_acl(Bucket=bucket_name)
        print(f"[+] Bucket ACL: {acl}")
        policy = s3.get_bucket_policy(Bucket=bucket_name)
        print(f"[+] Bucket Policy: {policy['Policy']}")
    except ClientError as e:
        print(f"[-] Error: {e}")

云存储攻击矩阵：

服务提供商	开放写入风险	典型利用方式
AWS S3	PutObject权限	上传WebShell
Azure Blob	Contributor角色	覆盖合法文件
Google Storage	storage.objects.create	植入恶意脚本

4. 云原生与传统环境的攻防差异

关键技术对比：

维度	传统环境	云原生环境
攻击面	固定IP/端口	动态扩展的微服务
持久化	文件/注册表	容器镜像/编排配置
检测难度	相对容易	分布式追踪困难
防御重点	边界防护	身份认证与最小权限

现代防御体系建议：

• 实施零信任网络架构
• 启用K8s Pod安全策略
• 定期审计云服务配置
• 部署eBPF运行时检测

在云原生时代，Getshell技术正变得更加隐蔽和分布式。安全团队需要从传统的主机安全思维，转向关注身份认证、API安全和配置管理的整体防护策略。