### ① 情报卡片 靶场环境 K8S-TARGET-08，etcd 端口对内网可达且未启用客户端证书校验，环境脱敏无真实密钥。 ### ② 攻击面判断 etcd 存集群全量状态与 Secret，未授权直连等于拿到状态数据库，缺陷在 etcd 访问控制配置。 ### ③ 第一次试探 只读探测键空间是否可列、是否要求证书，不写入不改键，先确认可未授权读取。 ### ④ 真假阳性递进校验 排除端口可达误报：需证书拒绝为正常。能未授权列出并读到 Secret 键值才判真，核对客户端证书校验是否真关闭。 ### ⑤ 完整链路拆解 内网可达 etcd → 无证书校验通过 → 读取全量键值（含 Secret、RBAC、证书，占位）→ 提取高权凭证 → 回到 API Server 以高权身份接管。etcd 是状态金库，未授权读取是接管链的弹药库环节。 ### ⑥ 底层溯源 etcd（Go goroutine）经 gRPC/socket 提供 KV 服务，客户端 TLS 校验关闭则任意连接被接受，读 `Range` 取回序列化键值，非内存破坏。 ### ⑦ 业务伤害定级 可未