k8s-webhook-abuse

name	k8s-webhook-abuse
description	Kubernetes Admission Webhook 滥用与策略引擎利用。当集群存在 Kyverno/OPA Gatekeeper/自定义 Webhook、DNS 扫描发现 kyverno-svc 或 gatekeeper 服务、或需要从 Mutating Webhook 提取注入的 Secret 时使用。核心手法：伪造 AdmissionReview 请求。任何在 K8s 中发现 Webhook 服务或策略引擎的场景都应使用此技能
metadata	{"tags":"k8s,kubernetes,webhook,kyverno,opa,gatekeeper,admission,mutate,validate,策略引擎,准入控制","category":"cloud"}

Kubernetes Admission Webhook 滥用

K8s 的 Admission Webhook 是集群安全的守门人，负责在资源创建/修改时执行策略（注入 Secret、环境变量等）。问题在于：很多 Webhook 不验证请求是否来自 API Server。这意味着攻击者可以从任意 Pod 直接向 Webhook 发送伪造的 AdmissionReview 请求，骗取本应注入到特权 Pod 中的 Secret。

正常流程:
  kubectl create pod → API Server → Mutating Webhook → (注入 secret) → 存储

攻击流程:
  攻击者 Pod → 直接 POST 到 Webhook → Webhook 返回 patch（含 secret）

---

Phase 1: 发现 Webhook 服务

# DNS 扫描发现策略引擎
k8spider scan -subnet <service-cidr>

# 常见的 Webhook 服务名
# Kyverno:
#   kyverno-svc.kyverno.svc.cluster.local (443)
#   kyverno-cleanup-controller.kyverno.svc.cluster.local
# OPA Gatekeeper:
#   gatekeeper-webhook-service.gatekeeper-system.svc.cluster.local
# 自定义:
#   *-webhook-service.*

# 检测 Webhook 端点
curl -k https://kyverno-svc.kyverno.svc.cluster.local/mutate
# GET 请求返回 "only POST/OPTIONS supported" → 说明服务可达且未验证来源

---

Phase 2: 构造 AdmissionReview 请求

构造一个假的 Pod 创建请求发给 Webhook，骗它返回 mutation patch。