killvxk 执行容器逃逸检测
说明
审计 Kubernetes Pod 的容器逃逸向量，包括特权模式（Privileged Mode）、危险能力（Dangerous Capabilities）、宿主机命名空间共享和可写的 hostPath 挂载。
from kubernetes import client, config
config.load_kube_config()
v1 = client.CoreV1Api()
pods = v1.list_pod_for_all_namespaces()
for pod in pods.items:
for container in pod.spec.containers:
sc = container.security_context
if sc and sc.privileged:
print(f"特权容器: {pod.metadata.namespace}/{pod.metadata.name}")
主要逃逸向量：
- 特权容器（完整宿主机访问权限）
- CAP_SYS_ADMIN 能力
- 宿主机 PID/网络/IPC 命名空间共享
- 对 / 或 /etc 的可写 hostPath 挂载
- Docker socket 挂载（/var/run/docker.sock）
示例
# 检查 Docker socket 挂载
for vol in pod.spec.volumes or []:
if vol.host_path and "docker.sock" in (vol.host_path.path or ""):
print(f"暴露的 Docker socket：{pod.metadata.name}")