从环境构建到漏洞利用：如何用Metarget和Coogo复现K8s IngressNightmare攻击链

Ingress Controller作为K8s集群管理外部访问的核心组件，承担着集群入口网关的关键角色，其通过智能路由机制将外部HTTP/HTTPS流量定向到集群内部相应的Service和Pod，是集群流量管理的"中枢神经系统"。目前市场上有多种可集成的Ingress Controller解决方案，包括Apache APISIX、Cilium、Emissary以及Nginx等。

其中，Nginx Ingress Controller凭借稳定性和高性能成为K8s生态中最受欢迎的Ingress Controller之一，同时也是K8s的核心项目，在GitHub上已获得超过18000个Star。然而，近年来该组件接连曝出的安全漏洞给用户带来了严峻的安全挑战。本文将重点分析最新披露RCE漏洞，通过复现和深入研究，给读者带来更多思考。

自2021年CVE-2021-25742漏洞首次公开以来，针对Nginx Ingress Controller的安全攻防对抗就持续不断。以下是近年来相关漏洞的时间线：

纵观近四年的漏洞演变历程，凭证窃取始终是攻击者的核心目标。从最初的攻击利用到防御封禁，再到新型绕过技术的出现，这一系列CVE的演变生动展现了攻防之间持续的技术博弈。绿盟科技星云实验室曾在《CVE-2023-5044：Nginx Ingress再曝注入漏洞》一文^[3]中对Nginx Ingress的相关漏洞做过详细分析感兴趣的读者也可关注。

图1展示了K8s API处理请求的过程，即从每个API请求开始，经历处理、认证、授权、准入控制、持久化到Etcd的过程，与本次漏洞相关的为准入控制器(Admission Controller)，准入控制器是K8s的内部安全机制，准入控制过程主要分为两个阶段，第一阶段运行变更准入控制器（MutatingAdmissionWebhook），用于拦截并修改K8s API Server请求的对象，第二阶段运行验证准入控制器（ValidatingAdmissionWebhook），用于对K8s API Server请求对象的格式进行校验，如果第一阶段的任何准入控制器拒绝了请求，则整个请求被拒绝，并同时会向终端用户返回一个错误。

本次涉及的漏洞成因源于 Nginx Ingress Controller 的验证准入控制器在处理Ingress对象时，未对用户输入进行充分验证和清理。攻击者通过向准入控制器发送恶意的 AdmissionReview 请求（该请求中包含待校验的资源对象），可以注入任意Nginx配置指令，并在配置验证阶段利用“nginx -t”触发代码执行，从而允许在Ingress Nginx Controller的Pod上远程执行代码。

步骤一：提前pull好所需镜像（可能需要设置Docker代理）

步骤二：利用Metarget一键安装K8s

步骤三：利用Metarget一键安装CVE-2025-1974漏洞环境

步骤一：设置端口转发（仅在本地进行漏洞利用时需要）

步骤二：利用绿盟云攻击套件Coogo自动化利用

建议可以先用以下命令确认K8s是否使用了ingress-nginx控制器：

再输入以列命令查看ingress-nginx的版本：

如果在受影响版本范围内，则建议：

1. 升级K8s Nginx Ingress Controller到最新版本

2. 限制准入控制器仅允许被K8s API Server访问，不允许对外暴露

绿盟云攻击套件Coogo是一个针对云原生环境和公有云的后渗透测试工具，与传统的云环境下的后渗透测试工具不同，Coogo具备三大优势：

(1) 云原生场景能力覆盖度全

Coogo在云原生能力的覆盖度上更加全面，其内置了200+攻击能力。覆盖范围包括云原生基础设施、云原生应用、CICD组件、数据服务，公有云服务。

(2) ATT&CK矩阵的覆盖度接近100%，支持复杂云上攻击路径的自动化利用

识别目标环境存在的组件/服务，验证可利用漏洞->利用组件/服务漏洞投递武器->内网信息收集，验证可利用漏洞->容器逃逸/权限提升漏洞利用->凭证窃取->凭证利用->持久化控制->痕迹清理。

(3) 用户友好，操作简单

Coogo具备智能化的评估能力，能够根据目标环境自动化推荐多种攻击策略，使用手册、help经过多轮精细打磨，便于用户上手。

Metarget [1]是业内首个开源云原生安全靶场，主要用于快速、自动化搭建从简单到复杂的脆弱云原生靶机环境。Metarget支持云原生组件、容器化应用等两类脆弱场景的自动化构建，以生成多节点、多层次的云原生环境靶场。Metarget已入选CNCF孵化类项目，Github Star数突破1.2K，社区活跃，广泛被安全研究者使用。

Metarget未来将持续更新维护开源版，保持靶场的新鲜性和可靠性，也非常欢迎高校、科研院所等单位共同参与开发，探索云原生安全的前沿，为云原生安全的发展添砖加瓦。

同时，近期我们也在开源版的基础上，推出了绿盟云原生攻防靶场商业版。绿盟云原生攻防靶场针对当前新型计算环境的复杂性和安全需求，依托绿盟网络空间安全仿真平台（CSSP），通过虚拟化、安全编排、行为仿真等技术构建各类应用场景，并对场景中生成的用户和攻防行为进行评估分析，满足用户人才培养、安全竞赛、实战对抗、设备测评、技术研究等需求。整个实战人才的培养体系按照训练难度从点->线->面依次递增，往后更加贴近实战、真实业务环境。其核心能力如下所示：