### ① 情报卡片 靶场环境 K8S-TARGET-22，攻击者已获高权身份，注册一个恶意准入 Webhook 挂钩关键资源，环境脱敏无源码。 ### ② 攻击面判断 准入 Webhook 在对象写入 etcd 前回调外部服务决策，被注册为后门后可对所有匹配对象放行、篡改或夹带，且随集群长期存在。缺陷在高权可注册且 Webhook 来源不可信，机制是前置回调。 ### ③ 第一次试探 防守侧只读盘点已注册 Mutating/Validating Webhook 的服务地址与规则，核对非业务回调，不调用不注销。 ### ④ 真假阳性递进校验 排除合法准入：安全策略、证书注入 Webhook 为业务所需。确认回调地址不可信、规则过宽挂钩全部对象才判真，区分"安全闸门"与"后门挂钩"。 ### ⑤ 完整链路拆解 高权身份 → 注册恶意 Webhook（机制，不含源码）→ 匹配对象提交时被回调 → 后门对请求放行/夹带/篡改 → 恶意对象得以落地，且每次写入都经过它，形成隐性挂钩。即使前面驻留对象被清，Webhook 仍在准入层等待下次提交。 ### ⑥ 底层溯源 AP