哎哟喂，兄弟姐妹们，今天咱们不聊那些高大上的“云原生安全”，咱就唠唠一个让我最近熬夜熬到头顶发凉，差点把键盘拍碎的话题——子网掩码容器逃逸。
先说个笑话，我以前总觉得子网掩码就是个“计算器”，算算IP范围用的，跟安全有啥关系？直到前两天，我亲手在测试环境里复现了一次“越狱”，我才恍然大悟——嘿，这玩意儿要是被“玩坏了”，简直能给容器开了个“后门儿”，那感觉，就像你明明把家门反锁了，结果小偷从你家狗狗的狗洞里钻进来，还顺手拿走了你藏在花盆底下的备用钥匙！您说气不气人？
子网掩码这“老实人”，怎么就成了逃逸的帮凶？
咱们用大白话捋一捋，在Kubernetes或者Docker的默认网络模式里，每个容器都有自己的“小房间”（网络命名空间），彼此靠Veth对儿和网桥（比如docker0）连起来，你进去看IP，通常是172.17.0.X或者是10.244.X.X，子网掩码呢？稳稳当当的255.0.0或者/16。
重点来了！这个/16是什么意思？就是告诉你，在这个“大平层”里，有65534个“工位”是直接可以互相喊话的（二层互通），不用出大门（网关），正常逻辑下，这没啥问题，因为大家都是一个“办公室”的同事嘛，可如果容器里的应用被攻破，或者你运行了一个带CAP_NET_ADMIN权限的Pod,那情况就完全变了味儿。
黑客怎么玩呢？他不需要去搞什么高深的CVE漏洞，只需要在容器里用ip route或者ip neigh命令，强行修改子网掩码，把本该是255.255.0（只有254个邻居）改成255.0.0，甚至改成/8（那就有1677万个邻居了）！这意味着什么？意味着这个小小的容器，突然就把自己的“社交圈”扩大到了整个宿主机的二层网络,甚至是隔壁物理机的二层网络！
嘿，您还别不信，我就遇到过这么个场景：在一个混合部署的集群里，宿主机上有好几个业务容器，还有一个关键的数据库容器，本来有个防火墙规则，只允许特定网段的容器访问数据库，结果攻击者利用一个图片上传漏洞打进了Nginx容器，一看掩码是/16，直接带着/8的掩码重新配置了路由表，接着用arping一扫描，好家伙，数据库容器的MAC地址被发现了！因为二层网络通了，防火墙规则形同虚设，数据包根本不经过三层网关，直接通过ARP广播就摸到了数据库的门口——容器逃逸这条路，就这么被“掩码”给铺平了！
你说这离谱不离谱？我当时的表情就是地铁老人看手机——满脸问号，这子网掩码明明是网络规划的好帮手，结果被坏人当成了“透视眼镜”,戴着它一眼看穿了你家所有窗户纸的厚度。
为什么说这事儿特别让人“破防”？
因为太隐蔽了！传统的容器逃逸攻击，盯的是内核漏洞，盯的是Docker Daemon的socket，这些都有成熟的检测规则，可子网掩码修改呢？它不产生任何告警日志，它只是把一场本该经过网关的“跨子网对话”，变成了“同子网的亲切会晤”，这就像你给门卫大叔看了你那张权限最低的工牌，结果你从消防通道溜达进了机房的VIP区,门卫还觉得这是常规操作呢！
而且吧，现在的微服务架构，服务间通信动辄几十个Pod，网络策略（NetworkPolicy）虽然能管三层四层，但对于这种“同网段内瞎转悠”的行为，基本是睁一只眼闭一只眼。你设置的IP白名单，在高通配的子网掩码面前，就跟没穿裤子一样，毫无阻挡能力。 我那天在复盘报告里写完后，自己都倒吸一口凉气：原来我们所谓的隔离，很多时候真的是在“裸奔”啊。
那咱们怎么办？总不能因噎废食不用K8s吧？
老铁们，别慌！我有几个“土办法”，虽然不高级,但绝对管用。
- 给容器“断舍离”：别给容器特权！那什么
CAP_NET_ADMIN，那是给网络插件的，不是给业务容器的，能不给就不给，哪怕给，也要用drop把默认能力丢掉，再add回去你需要的，千万别图省事用--privileged。 - 开启“实名制”二层隔离：在CNI层面就用第三方的网络方案，比如Calico的IPIP或者VXLAN模式，把二层广播域压缩到最小，让每个Pod的邻居数量尽量少,少到就算改了掩码也扫不出几个活人。
- 盯住ARP和路由表：部署个简单的eBPF监控或者falco规则，一旦发现容器内的进程偷偷执行
ip命令修改掩码或者路由，立刻告警，甚至直接杀掉进程，别嫌烦，安全就是跟人家“斗智斗勇”，你多看一眼,黑客就少一分机会。
说真的，那天晚上修复完漏洞，我盯着屏幕上的ifconfig发呆，内心的OS是：“网络世界啊，你以为的地界儿，真不是你以为的。” 子网掩码这招，属于典型的“灯下黑”，咱普通人看它是个数字，黑客看它是个“开关”。
最后啰嗦一句，网络安全的坑，真的是越挖越深，越学越觉得自己的知识储备是“渣渣”，但没办法，吃这碗饭，总得把脖子上的“墙”修得结实点，不然哪天被逃逸的容器“一脚踹开”大门，那脸上的表情可就真是“笑着哭”了。
（温馨提示）
对网络安全、渗透测试、容器安全感兴趣，想一起交流“躲避防火墙”技巧的，或者想学习怎么修补这些“洞”的小伙伴们，学习网络安全可以加QQ：3382695584（非诚勿扰），咱们一起探讨探讨，人多力量大,总比自己瞎琢磨强！
