mcpField
P
performing-container-escape-detection

performing-container-escape-detection

github.com/mukul975安全35.2k68 次安装8 周前更新
代码仓库

关于 performing-container-escape-detection

用于容器安全审计的技能，面向安全评估和事件响应人员。它检查 Kubernetes Pod 中可能导致容器逃逸的配置。

主要功能

  1. 01检查特权容器
  2. 02检查危险能力
  3. 03检查主机命名空间共享
  4. 04检查可写 hostPath 挂载
  5. 05检查 Docker socket 挂载

适用场景

  1. 01审计 Kubernetes Pod 配置
  2. 02调查容器安全事件

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill performing-container-escape-detection

安装后在 Claude Code 中输入/performing-container-escape-detection确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

执行容器逃逸检测

何时使用

  • 在开展涉及执行容器逃逸检测的安全评估时
  • 在针对相关安全事件遵循事件响应流程时
  • 在执行计划性安全测试或审计活动时
  • 在通过实际动手测试验证安全控制措施时

前置条件

  • 熟悉容器安全概念和工具
  • 可访问用于安全执行的测试或实验环境
  • 已安装 Python 3.8+ 及所需依赖
  • 为任何测试活动取得适当授权

操作说明

审计 Kubernetes Pod 的容器逃逸向量，包括特权模式、 危险能力、主机命名空间共享以及可写 hostPath 挂载。

from kubernetes import client, config
config.load_kube_config()
v1 = client.CoreV1Api()

pods = v1.list_pod_for_all_namespaces()
for pod in pods.items:
    for container in pod.spec.containers:
        sc = container.security_context
        if sc and sc.privileged:
            print(f"PRIVILEGED: {pod.metadata.namespace}/{pod.metadata.name}")

关键逃逸向量：

  1. 特权容器（完全主机访问权限）
  2. CAP_SYS_ADMIN 能力
  3. 主机 PID/Network/IPC 命名空间共享
  4. 对 / 或 /etc 的可写 hostPath 挂载
  5. Docker socket 挂载（/var/run/docker.sock）

示例

# Check for docker socket mounts
for vol in pod.spec.volumes or []:
    if vol.host_path and "docker.sock" in (vol.host_path.path or ""):
        print(f"Docker socket exposed: {pod.metadata.name}")

评论

支持 Markdown