# Performing Container Escape Detection

> 通过分析命名空间配置、特权容器检查、危险能力分配和宿主机路径挂载，使用 kubernetes Python 客户端检测容器逃逸尝试。识别通过 cgroup 滥用的 CVE-2022-0492 类型逃逸。 适用于审计容器安全态势或调查逃逸尝试。

- Skill: `killvxk/performing-container-escape-detection` (Agent Skill, multi-file: 4 files)
- Install (CLI): `npx skillmds@latest add killvxk/performing-container-escape-detection`
- Raw SKILL.md: https://api.skillmd.com/api/skills/killvxk/performing-container-escape-detection/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: DevOps & Infra
- License: Apache-2.0
- Author: killvxk (https://skillmd.com/u/killvxk)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/killvxk/performing-container-escape-detection

---


# 执行容器逃逸检测

## 说明

审计 Kubernetes Pod 的容器逃逸向量，包括特权模式（Privileged Mode）、危险能力（Dangerous Capabilities）、宿主机命名空间共享和可写的 hostPath 挂载。

```python
from kubernetes import client, config
config.load_kube_config()
v1 = client.CoreV1Api()

pods = v1.list_pod_for_all_namespaces()
for pod in pods.items:
    for container in pod.spec.containers:
        sc = container.security_context
        if sc and sc.privileged:
            print(f"特权容器: {pod.metadata.namespace}/{pod.metadata.name}")
```

主要逃逸向量：
1. 特权容器（完整宿主机访问权限）
2. CAP_SYS_ADMIN 能力
3. 宿主机 PID/网络/IPC 命名空间共享
4. 对 / 或 /etc 的可写 hostPath 挂载
5. Docker socket 挂载（/var/run/docker.sock）

## 示例

```python
# 检查 Docker socket 挂载
for vol in pod.spec.volumes or []:
    if vol.host_path and "docker.sock" in (vol.host_path.path or ""):
        print(f"暴露的 Docker socket：{pod.metadata.name}")
```