容器如何提升权限？Kubernetes allowPrivilegeEscalation何时起防护作用？

容器可通过哪些方式提升权限？ #

• 利用SUID/SGID二进制文件：容器内部分预装工具（如bash、find）若被设置SUID位，普通用户可通过执行它们获取root权限
• 挂载主机敏感路径：若容器挂载了主机的/proc、/sys或整个主机文件系统，可通过修改主机配置、直接操作主机文件实现提权
• 容器运行时漏洞：早期runc、containerd等运行时存在的漏洞，可被用于突破容器隔离，获取主机权限
• 特权模式运行：容器以--privileged参数启动时，默认拥有主机root权限，可直接操作主机资源
• 额外Linux能力：容器被赋予CAP_SYS_ADMIN、CAP_SETUID等特权能力时，用户可利用这些能力修改权限或执行特权操作
• 容器逃逸：通过控制主机命名空间、设备文件等方式突破隔离，获得主机层面的权限

allowPrivilegeEscalation=false仅适用于容器被利用场景吗？ #

不是。该参数是通用的权限控制开关，会阻止容器内所有进程（无论合法操作还是恶意利用）提升权限。比如合法场景中，容器内服务若需启动子进程并提权，或普通用户尝试通过su/sudo切换到root，都会被这个参数限制。它的作用不仅是防范攻击，也用于规范容器内的合法操作，避免意外的权限提升风险。

是否存在其他容器提权途径？ #

除上述方式外，还有以下常见途径：

• 镜像漏洞或配置错误：镜像内置恶意软件、默认root密码，或存在弱权限文件/目录，攻击者可直接获取容器内root权限
• 容器以root用户运行：若容器以root身份启动且存在未授权访问（如弱口令、暴露端口），攻击者进入容器后可利用root权限进一步逃逸到主机
• 命名空间滥用：通过操作PID、NET等Linux命名空间，突破容器隔离，访问主机进程或网络资源，进而实现提权
• 设备文件滥用：若容器被允许访问/dev/kmem、/dev/sda等主机设备文件，攻击者可通过读写这些文件修改内核或主机文件系统完成提权

内容的提问来源于stack exchange，提问作者Si90