容器、容器编排组件 API 配置不当或未鉴权

就安全问题来说，业界普遍接触最多、最首当其冲的就是容器组件服务的未鉴权问题。我们在 2019 年的时候整理了一份 Kubernetes 架构下常见的开放服务指纹，提供给到了地表最强的扫描器洞犀团队，就现在看来这份指纹也是比较全的。

1. kube-apiserver: 6443, 8080

2. kubectl proxy: 8080, 8081

3. kubelet: 10250, 10255, 4149

4. dashboard: 30000

5. docker api: 2375

6. etcd: 2379, 2380

7. kube-controller-manager: 10252

8. kube-proxy: 10256, 31442

9. kube-scheduler: 10251

10. weave: 6781, 6782, 6783

11. kubeflow-dashboard: 8080

前六个服务的非只读接口我们都曾经在渗透测试里遇到并利用过，都是一旦被控制可以直接获取相应容器、相应节点、集群权限的服务，也是广大公网蠕虫的必争之地。