关于 competition-container-runtime
面向安全竞赛的后续技能，用于分析运行中的容器或 Pod，而非只依赖仓库中的清单。须在 `$ctf-sandbox-orchestrator` 建立沙箱假设和证据优先级后使用。
主要功能
- 01对比清单与实时运行状态
- 02追踪路由、挂载和消费进程
- 03区分注入状态与生成状态
- 04构建最小证据链
适用场景
- 01调查实时挂载或 sidecar 引发的行为
- 02定位运行状态与清单的偏差
- 03从注入状态复现可访问路径
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/competition-container-runtime确认已加载。
附带文件agents/openai.yamlreferences/container-runtime.md
详细介绍
竞赛容器运行时
仅当 $ctf-sandbox-orchestrator 已处于活动状态，并已确立沙箱假设、节点归属和证据优先级之后，才将此技能作为下游专项使用。如果尚未发生这种情况，请先回到 $ctf-sandbox-orchestrator。
当挑战真正关乎活动容器或 Pod 当前正在做什么，而不是已签入的清单声称它应该做什么时，请使用此技能。
除非用户明确要求英文，否则用简体中文回复。
快速开始
- 将意图与现实分开：清单、镜像、启动、活动挂载、活动路由、活动进程。
- 映射主机 -> 代理 -> 容器或 Pod -> 挂载卷 -> 消费进程。
- 将密钥、渲染配置、init 输出和 sidecar 输出与静态清单分开保存。
- 证明一条从挂载或注入状态到可达行为的最小活动路径。
- 用最小的运行时特定链条复现该效果。
工作流
1. 映射活动运行时
- 将 compose 或 kube 清单与正在运行的容器、Pod、挂载卷、env、sidecar、init 容器和入口点进行对比。
- 确定哪个进程实际消费了挂载的密钥、渲染配置或共享卷输出。
2. 追踪路由与挂载边界
- 将虚拟主机、反向代理、服务、容器端口、文件系统挂载和运行时生成的文件路径一起映射。
- 记录决定性状态是镜像内置、env 注入、稍后挂载，还是由 init/sidecar 进程写入。
3. 报告运行时偏差
- 指出活动运行时与已签入意图发生偏离的最早位置。
- 保持一条紧凑的证据链，从清单或 compose 意图到活动消费进程行为。
阅读此参考
- 加载
references/container-runtime.md以获取运行时检查清单、挂载链检查清单和常见活动与静态对比的陷阱。 - 如果难点是 kube API 权限、服务账户信任、RBAC 边缘、准入变更或控制器创建的工作负载漂移，优先使用
$competition-k8s-control-plane。 - 如果难点是 Host 头路由、路径前缀重写或跨节点的路由到服务映射，优先使用
$competition-runtime-routing。 - 如果难点是证明容器到主机的跨越、内核攻击面先决条件或稳定的逃逸原语，优先使用
$competition-kernel-container-escape。 - 如果难点是在容器立足点之后重放 Linux 密钥、套接字信任边缘或主机到主机跳转，优先使用
$competition-linux-credential-pivot。
需要保留的内容
- 与活动挂载或路由相关的 Compose/Kubernetes 片段
- 容器 ID、Pod 名称、挂载路径、sidecar 输出、渲染配置路径和消费进程
- 仅在运行时才可达的确切路由或文件路径
评论
支持 Markdown