Saha · senaryo

Konağa Açık Pod

Altay Kargo'nun API servisi kargo-api, varsayilan ad alanında çalışıyor. Pod güvenlik taraması iki sorun işaretliyor: konteyner root olarak çalışabiliyor ve konak dosya sistemine bağlanmış bir birim var.

runAsNonRoot alanı tanımlı değilse konteyner varsayılan olarak imajın kullanıcısıyla, çoğunlukla root ile çalışır. hostPath birimi ise Pod'un konağın gerçek dosya sistemine erişmesine izin verir, konteyner kaçışı için doğrudan bir yoldur.

Önce çalışan Pod'u bul, sonra Deployment'ın güvenlik bağlamını ve birim tanımlarını oku. path değeri / ise bu en tehlikeli hostPath kullanımıdır, konağın tamamı demektir.

Düzeltme dağıtım şablonunda zaten yapılmış durumda; senin işin dağıtımı yeniden başlatıp yeni Pod'un güvenli ayarlarla geldiğini doğrulamak.

Görevler

0/4 tamamlandı

Çalışan Pod'ları listele
Deployment'ın güvenlik bağlamını oku
hostPath biriminin nereyi bağladığını bul
Dağıtımı yeniden başlat ve yeni Pod'un root olmadığını doğrula, flag'i al flag hedefi

altay@bastion:~simülasyon

AltaySec eğitim terminali. Bu bir simülasyondur, gerçek makineye bağlı değilsin.

Hedef: kargo-api Deployment'ı, varsayilan ad alanı, kargo-k8s kümesi, Yalnız okuma ve dağıtımı yeniden başlatma. Pod'u elle silme veya başka Deployment'a dokunma yok, Kurgu ortam. Bu küme gerçek değildir

Kullanabileceğin araçlar: kubectl get, kubectl describe, kubectl rollout, kubectl exec, cat

Komutları bilmiyorsan 'yardim' yaz. Hedefleri yukarıdaki listeden takip et.

Bu bir simülasyondur. Komutlar gerçek bir sisteme gitmez. Öğrendiğin yöntemi izinsiz bir hedefte denemek suçtur. Yasal ortam için menzil var.