### ① 情报卡片 靶场环境 K8S-TARGET-04，Pod 未开特权，但单独授予了 `CAP_SYS_ADMIN`，容器内普通权限。 ### ② 攻击面判断 CAP_SYS_ADMIN 是覆盖极广的管理能力，涵盖挂载、命名空间操作、设备控制等，单独授予等同于半特权。能力过宽是缺陷，不是单条系统调用漏洞。 ### ③ 第一次试探 容器内查看已获 capability 集合，确认 SYS_ADMIN 在列，先枚举能力不动作。 ### ④ 真假阳性递进校验 排除模拟：能力集合与声称一致。验证能力可用：在授权测试内确认挂载相关操作未被拒，区分"声明有能力"与"内核真放行"。 ### ⑤ 完整链路拆解 失陷 Pod → 持有 SYS_ADMIN → 借助该能力操作挂载/命名空间触达宿主视图（占位 `/host-root`）→ 节点控制 → 横向。能力本身是钥匙，串到具体挂载动作才开门。 ### ⑥ 底层溯源 capability 是内核权限位，`capset`/ bounding set 在运行时设定。SYS_ADMIN 放行 `mount` 等管理类系统调用的检查