https://github.com/aicoa/k8spentool-go/tree/main

# 编译
go build -o k8spen ./cmd/k8spen
# 运行
./k8spen -port 8080
# 浏览器打开 http://localhost:8080

信息收集 → 初始访问 → 命令执行 → 权限维持 → 权限提升 → 横向移动
   │           │          │          │          │          │
   │      APIServer   Pod Exec    创建SA    特权逃逸   Secrets窃取
   │      Kubelet     文件上传    CronJob   内核漏洞   服务发现
   │      Etcd       反弹Shell   DaemonSet  cgroup    污点绕过
   │      Dashboard  端口转发    Kubeconfig
   │
   └─── CDK 战术贯穿全链：ConfigMap → PSP → DockerAPI → ShadowAPI → MITM → Escape
   └─── AI 助手：自动化上述全流程
   └─── SOCKS5 代理：内网穿透执行

用户输入 \"分析集群能否提权/逃逸/打Dashboard\"
        │
        ▼
┌──────────────────────────────────────────┐
│  ReAct 工具调用循环 (最多 6 轮)            │
│                                          │
│  LLM ──→ 调用工具 ──→ 后端执行 ──→ 结果回灌 │
│   ↑                                    │ │
│   └──────────── 继续推理 ←──────────────┘ │
│                                          │
│  最终：中文三段式分析结论                   │
└──────────────────────────────────────────┘

【提权可行性】
当前凭据权限：can-i pods/list/secrets get 全命名空间 ✓
存在 privilege-escalation 路径：可创建 ServiceAccount →
绑定 cluster-admin → 提取 token → 完全控制集群
建议：使用 persist_create_admin_sa 创建持久化后门

【逃逸可行性】
发现 2 个高风险 Pod：
- kube-system/privileged-daemonset-xxx (PRIVILEGED + hostPID + hostPath:/)
- default/backdoor-pod (docker.sock 挂载)
可直接在 kube-system Pod 中执行 nsenter 或 chroot 逃逸
建议：exec_command 在目标 Pod 执行 fdisk -l && mount /dev/sda1 /mnt

【Dashboard可达性】
kubernetes-dashboard Service 在 kube-system 命名空间 ✓
NodePort: 30443 → 集群外可直接访问
检测到 skip-login 已启用 → 无需认证直接进入
建议：浏览器访问 https://<node_ip>:30443 即可获得 Dashboard 控制权

1. privileged       → privileged: true + hostPID + hostNetwork
2. docker-sock      → 挂载 /var/run/docker.sock → docker run 宿主机容器
3. host-proc        → 挂载 /proc → nsenter 进入宿主机命名空间
4. cap-dac          → CAP_DAC_READ_SEARCH → 绕过文件权限读取宿主机文件
5. kubelet-log      → 挂载 /var/log → 通过 kubelet 日志提取凭据

你的浏览器 → 后端(:8080) → SOCKS5(:1080) → 跳板机 → 目标 K8s 集群

// internal/util/proxy.go
func ProxyDialContext() func(ctx context.Context, network, addr string) (net.Conn, error) {
    dialer, _ := proxy.SOCKS5(\"tcp\", \"proxy:1080\", auth, proxy.Direct)
    return func(ctx context.Context, network, addr string) (net.Conn, error) {
        return dialer.Dial(network, addr)
    }
}

// internal/kubectl/client.go
cfg.WrapTransport = func(rt http.RoundTripper) http.RoundTripper {
    tr := rt.(*http.Transport).Clone()
    tr.DialContext = util.ProxyDialContext()
    return tr
}