挖矿内核重启是什么原因，挖ETH不断重启内核什么原因

一、挖ETH不断重启内核什么原因

内核重启在两种情况下出现：

开始挖矿后一直内核重启

可能是高级设置的附加参数错误

可能是显卡不支持该币种

可能是虚拟内存不够

可能是内核选择错误

可能是内核文件被当病毒删除

挖矿途中偶尔重启

虚拟内存不够，多在挖ETH时出现

某张卡、卡托、延长线故障引起的不稳定

超频不当引起的不稳定

二、5700用什么内核挖矿

5700用PhoenixMiner5.2e加的内核挖矿。

5700显卡挖矿设置要点：不需要签名，签了也不影响，不需要开计算模式，开了也不影响，不需要开测试模式，开了也不影响不需要设置显存电压，不需要设置asm、rxboost、自动时序，设置了也不影响，内核选择PhoenixMiner5.2e+，显存范围1750~1860，超过1800可能不稳定甚至死机。因此5700用PhoenixMiner5.2e加的内核挖矿。望采纳。

三、什么是K8S

‍

k8s是什么?

Kubernetes是一个可移植的，可扩展的开源容器编排平台，用于管理容器化的工作负载和服务，方便了声明式配置和自动化。它拥有一个庞大且快速增长的生态系统。Kubernetes的服务，支持和工具广泛可用。

为什么现在流行使用容器?

早期:在物理服务器上面部署应用程序存在资源分配问题,因为其不能在物理服务器中的应用程序定义资源边界,导致应用程序资源利用不足而无法扩展.

后来:为了解决该问题,引入了虚拟化技术,虚拟化技术是指允许你在单个物理服务器的 CPU上运行多个虚拟机,可以让多个应用程序在虚拟机之间进行隔离,具有一定的安全性,每一个虚拟机就是一台完整的计算机,在虚拟化硬件之上运行所有组件.

现在:多数在物理服务器上面部署应用程序都是采kubectl用容器的方式,容器类似于虚拟机,它们都具有自己的文件系统、CPU、内存、进程空间等,且由于它们与基础架构分离，因此可以跨云和 OS发行版本进行移植。基于此特点被企业大范围使用.

为什么需要使用k8s容器?

若出现这样一个环境:在生产环境中如果一个容器发生故障,则我们需要手动去启动另外一个容器,这样的操作是对我们的管理员来说是不太方便的,若一个容器出现故障,另一个容器可以自动启动容器接管故障的容器,这样是最好的.

k8s就可以实现该效果,Kubernetes提供了一个可弹性运行分布式系统的框架。 Kubernetes会满足你的扩展要求、故障转移、部署模式等。

k8s功能:服务发现和负载均衡,存储编排,自动部署和回滚,自动完成装箱计算,自我修复,密钥与配置管理

名词解释

secret

Secret有三种类型：

Service Account：用来访问Kubernetes API，由Kubernetes自动创建，并且会自动挂载到Pod的目录中；/run/secrets/kubernetes.io/serviceaccountOpaque：base64编码格式的Secret，用来存储密码、密钥等；kubernetes.io/dockerconfigjson：用来存储私有docker registry的认证信息。

k8s的组成

k8s是由组件,API,对象等组成.

包含所有相互关联组件的 Kubernetes集群图如下:

组件

控制平面组件kube-apiserver:为k8s的api服务器,公开了所有Kubernetes API,其他所有组件都必须通过它提供的API来操作资源数据.保证集群状态访问的安全隔离集群状态访问的方式和后端存储实现的方式：API Server是状态访问的方式，不会因为后端存储技术etcd的改变而改变。etcd:为k8s的键值数据库,保存了k8s所有集群数据的后台数据库。kube-scheduler:收集和分析当前Kubernetes集群中所有Node节点的资源(内存、CPU)负载情况，然后依此分发新建的Pod到Kubernetes集群中可用的节点。 kube-controller-manager:在主节点上运行控制器的组件。cloud-controller-manager:云控制器管理器是指嵌入特定云的控制逻辑的控制平面组件Node组件kubelet:一个在集群中每个节点（node）上运行的代理。它保证容器（containers）都运行在 Pod中。kube-proxy: kube-proxy是集群中每个节点上运行的网络代理,维护节点上的网络规则。这些网络规则允许从集群内部或外部的网络会话与 Pod进行网络通信。容器运行时:负责运行容器的软件。插件(Addons)DNS:集群 DNS是一个 DNS服务器，和环境中的其他 DNS服务器一起工作，它为 Kubernetes服务提供 DNS记录。Web界面（仪表盘）: Dashboard是Kubernetes集群的通用的、基于 Web的用户界面。容器资源监控:容器资源监控将关于容器的一些常见的时间序列度量值保存到一个集中的数据库中，并提供用于浏览这些数据的界面。集群层面日志:集群层面日志机制负责将容器的日志数据保存到一个集中的日志存储中，该存储能够提供搜索和浏览接口。

API

Kubernetes控制面的核心是 API服务器。 API服务器负责提供 HTTP API，以供用户、集群中的不同部分和集群外部组件相互通信。

对象

Kubernetes对象是Kubernetes系统中的持久实体。Kubernetes使用这些实体来表示集群的状态.

具体来说，他们可以描述：

容器化应用正在运行(以及在哪些节点上)这些应用可用的资源关于这些应用如何运行的策略，如重新策略，升级和容错

Kubernetes架构

Kubernetes架构由节点,控制面到节点通信,控制器,云控制器管理器组成.

master流程图

Kubecfg将特定的请求，比如创建Pod，发送给Kubernetes Client。Kubernetes Client将请求发送给API server。API Server根据请求的类型，比如创建Pod时storage类型是pods，然后依此选择何种REST Storage API对请求作出处理。REST Storage API对的请求作相应的处理。将处理的结果存入高可用键值存储系统Etcd中。在API Server响应Kubecfg的请求后，Scheduler会根据Kubernetes Client获取集群中运行Pod及Minion/Node信息。依据从Kubernetes Client获取的信息，Scheduler将未分发的Pod分发到可用的Minion/Node节点上。

节点

节点可以是一个虚拟机或者物理机器，取决于所在的集群配置。每个节点包含运行 Pods所需的服务，这些 Pods由控制面负责管理.

节点上的组件包括 kubelet、容器运行时以及 kube-proxy。

节点状态

可以使用 kubectl来查看节点状态和其他细节信息：

kubectl describe node<�节点名称>

一个节点包含以下信息:

地址HostName：由节点的内核设置。可以通过 kubelet的—hostname-override参数覆盖。ExternalIP：通常是节点的可外部路由（从集群外可访问）的 IP地址。InternalIP：通常是节点的仅可在集群内部路由的 IP地址。状况(conditions字段描述了所有 Running节点的状态)Ready如节点是健康的并已经准备好接收 Pod则为 True；False表示节点不健康而且不能接收 Pod；Unknown表示节点控制器在最近 node-monitor-grace-period期间（默认 40秒）没有收到节点的消息DiskPressure为True则表示节点的空闲空间不足以用于添加新 Pod,否则为 FalseMemoryPressure为True则表示节点存在内存压力，即节点内存可用量低，否则为 FalsePIDPressure为True则表示节点存在进程压力，即节点上进程过多；否则为 FalseNetworkUnavailable为True则表示节点网络配置不正确；否则为 False容量与可分配描述节点上的可用资源：CPU、内存和可以调度到节点上的 Pod的个数上限。信息关于节点的一般性信息，例如内核版本、Kubernetes版本（kubelet和 kube-proxy版本）、 Docker版本（如果使用了）和操作系统名称。这些信息由 kubelet从节点上搜集而来。

控制面到节点通信

节点到控制面apiserver在安全的 HTTPS端口（443）上监听远程连接请求以客户端证书的形式将客户端凭据提供给 kubelet控制面到节点API服务器到 kubelet连接用于获取 Pod日志挂接（通过 kubectl）到运行中的 Pod提供 kubelet的端口转发功能。(注:在连接状态下,默认apiserver不检查 kubelet的服务证书。容易受到中间人攻击，不安全.)apiserver到节点、Pod和服务SSH隧道(目前已经废弃)产生原因:若无服务证书,又要求避免在非受信网络或公共网络上进行连接,则可以在apiserver和 kubelet之间使用ssh隧道.Kubernetes支持使用 SSH隧道来保护从控制面到节点的通信路径。Konnectivity服务为ssh隧道的替代品, Konnectivity服务提供 TCP层的代理，以便支持从控制面到集群的通信。

控制器

在 Kubernetes中，控制器通过监控集群的公共状态，并致力于将当前状态转变为期望的状态。

举个例子:当前室内温度为20度,我们通过调节遥控器,使其温度上升至24度,这20度到24度的变化即为让其从当前状态接近期望状态。

控制器模式分为直接控制和通过API服务器来控制.

云控制器管理器

云控制器管理器是指嵌入特定云的控制逻辑的控制平面组件。云控制器管理器允许您链接聚合到云提供商的应用编程接口中，并分离出相互作用的组件与您的集群交互的组件。

云控制器管理器中的控制器包括：

节点控制器节点控制器负责在云基础设施中创建了新服务器时为之创建节点（Node）对象。节点控制器从云提供商获取当前租户中主机的信息。执行功能:针对控制器通过云平台驱动的 API所发现的每个服务器初始化一个 Node对象利用特定云平台的信息为 Node对象添加注解和标签获取节点的网络地址和主机名检查节点的健康状况。路由控制器Route控制器负责适当地配置云平台中的路由，以便 Kubernetes集群中不同节点上的容器之间可以相互通信。服务控制器服务（Service）与受控的负载均衡器、 IP地址、网络包过滤、目标健康检查等云基础设施组件集成。服务控制器与云驱动的 API交互，以配置负载均衡器和其他基础设施组件。

Kubernetes安全性

云原生安全

云原生安全4个C:云(Cloud)、集群(Cluster)、容器(Container)和代码(Code)

云原生安全模型的每一层都是基于下一个最外层，代码层受益于强大的基础安全层（云、集群、容器）。我们无法通过在代码层解决安全问题来为基础层中糟糕的安全标准提供保护。

基础设施安全

Kubetnetes基础架构关注领域

建议

通过网络访问 API服务（控制平面)

所有对 Kubernetes控制平面的访问不允许在 Internet上公开，同时应由网络访问控制列表控制，该列表包含管理集群所需的 IP地址集。

通过网络访问 Node（节点)

节点应配置为仅能从控制平面上通过指定端口来接受（通过网络访问控制列表）连接，以及接受 NodePort和 LoadBalancer类型的 Kubernetes服务连接。如果可能的话，这些节点不应完全暴露在公共互联网上。

Kubernetes云访问提供商的 API

每个云提供商都需要向 Kubernetes控制平面和节点授予不同的权限集。为集群提供云提供商访问权限时，最好遵循对需要管理的资源的最小特权原则。Kops文档提供有关 IAM策略和角色的信息。

访问 etcd

对 etcd（Kubernetes的数据存储）的访问应仅限于控制平面。根据配置情况，你应该尝试通过 TLS来使用 etcd。更多信息可以在 etcd文档中找到。

etcd加密

在所有可能的情况下，最好对所有驱动器进行静态数据加密，但是由于 etcd拥有整个集群的状态（包括机密信息），因此其磁盘更应该进行静态数据加密。

集群组件安全

运行的应用程序的安全性关注领域访问控制授权(访问 Kubernetes API)认证方式应用程序 Secret管理(并在 etcd中对其进行静态数据加密)Pod安全策略服务质量（和集群资源管理）网络策略Kubernetes Ingress的 TLS支持

容器安全

容器安全性关注领域容器搭建配置(配置不当,危险挂载,特权用户)容器服务自身缺陷Linux内核漏洞镜像签名和执行

代码安全

代码安全关注领域仅通过 TLS访问(流量加密)限制通信端口范围第三方依赖性安全静态代码分析动态探测攻击(黑盒)

Kubernetes架构常见问题

Kubernetes ATTACK矩阵

信息泄露

云账号AK泄露

API凭证（即阿里云AccessKey）是用户访问内部资源最重要的身份凭证。用户调用API时的通信加密和身份认证会使用API凭证.

API凭证是云上用户调用云服务API、访问云上资源的唯一身份凭证。

API凭证相当于登录密码，用于程序方式调用云服务API.

k8s configfile泄露

kubeconfig文件所在的位置:

$HOME/.kube/config

Kubeconfig文件包含有关Kubernetes集群的详细信息，包括它们的位置和凭据。

云厂商会给用户提供该文件,以便于用户可以通过kubectl对集群进行管理.如果攻击者能够访问到此文件（如办公网员工机器入侵、泄露到Github的代码等），就可以直接通过API Server接管K8s集群，带来风险隐患。

Master节点SSH登录泄露

常见的容器集群管理方式是通过登录Master节点或运维跳板机，然后再通过kubectl命令工具来控制k8s。

云服务器提供了通过ssh登陆的形式进行登陆master节点.

若Master节点SSH连接地址泄露,攻击者可对ssh登陆进行爆破,从而登陆上ssh,控制集群.

容器组件未鉴权服务

Kubernetes架构下常见的开放服务指纹如下:

kube-apiserver: 6443, 8080kubectl proxy: 8080, 8081kubelet: 10250, 10255, 4149dashboard: 30000docker api: 2375etcd: 2379, 2380kube-controller-manager: 10252kube-proxy: 10256, 31442kube-scheduler: 10251weave: 6781, 6782, 6783kubeflow-dashboard: 8080

注:前六个重点关注:一旦被控制可以直接获取相应容器、相应节点、集群权限的服务

了解各个组件被攻击时所造成的影响

组件分工图:

假如用户想在集群里面新建一个容器集合单元,流程如下:

用户与 kubectl进行交互,提出需求(例: kubectl create-f pod.yaml)kubectl会读取~/.kube/config配置，并与 apiserver进行交互，协议：http/httpsapiserver会协同 ETCD, kube-controller-manager, scheduler等组件准备下发新建容器的配置给到节点，协议：http/httpsapiserver与 kubelet进行交互，告知其容器创建的需求，协议：http/https；kubelet与Docker等容器引擎进行交互，创建容器，协议：http/unix socket.容器已然在集群节点上创建成功

攻击apiserver

apiserver介绍:

在Kubernetes中,对于未鉴权对apiserver,能访问到 apiserver一般情况下就能获取了集群的权限.

在攻击者眼中Kubernetes APIServer

容器编排K8S总控组件pods, services, secrets, serviceaccounts, bindings, componentstatuses, configmaps,endpoints, events, limitranges, namespaces, nodes, persistentvolumeclaims,persistentvolumes, podtemplates, replicationcontrollers, resourcequotas…可控以上所有k8s资源可获取几乎所有容器的交互式shell利用一定技巧可获取所有容器母机的交互式shell

默认情况下apiserver都有鉴权:

未鉴权配置如下:

对于这类的未鉴权的设置来说，访问到 apiserver一般情况下就获取了集群的权限：

如何通过apiserver来进行渗透,可参考:

攻击kubelet

每一个Node节点都有一个kubelet(每个节点上运行的代理)服务，kubelet监听了10250，10248，10255等端口。

10250端口,是kubelet与apiserver进行通信对主要端口,通过该端口,kubelet可以知道当前应该处理的任务.该端口在最新版Kubernetes是有鉴权的,但在开启了接受匿名请求的情况下，不带鉴权信息的请求也可以使用10250提供的能力,在Kubernetes早期,很多挖矿木马基于该端口进行传播.

在配置文件中,若进行如下配置,则可能存在未授权访问漏洞.

/var/bin/kubulet/config/yaml

若10250端口存在未授权访问漏洞,我们可以直接访问/pods进行查看

根据在pods中获取的信息,我们可以在容器中执行命令

curl-Gks {namespace}/{podname}/{containername} \-d'input=1'-d'output=1'-d'tty=1' \-d'command=whoami'

上述命令得到websocket地址，连接websocket得到命令结果：

使用wscat工具连接websocket

wscat-c“{websocket}”--no-check

即可得到我们执行命令的结果.

获取token

/var/run/secrets/kubernetes.io/serviceaccount

然后即可访问kube-api server,获取集群权限

curl-ks-H"Authorization: Bearer \ ttps://master:6443/api/v1/namespaces/{namespace}/secrets

攻击kubelet总体步骤如下:

访问pods获取信息获取namespace、podsname、containername执行exec获取token/var/run/secrets/kubernetes.io/serviceaccount利用Token访问API Server进行对pods操作。

攻击dashboard

dashboard登陆链接如下:

dashboard界面如下:

dashboard是Kubernetes官方推出的控制Kubernetes的图形化界面.在Kubernetes配置不当导致dashboard未授权访问漏洞的情况下，通过dashboard我们可以控制整个集群。

默认情况下, dashboard是需要进行鉴权操作的,当用户开启了enable-skip-login时可以在登录界面点击Skip跳过登录进入dashboard.

通过skip登陆的dashboard默认是没有操作集群的权限,因为Kubernetes使用RBAC(Role-based access control)机制进行身份认证和权限管理，不同的serviceaccount拥有不同的集群权限。

但有些开发者为了方便或者在测试环境中会为Kubernetes-dashboard绑定cluster-admin这个ClusterRole（cluster-admin拥有管理集群的最高权限）.

为Kubernetes-dashboard绑定cluster-admin设置如下:

新建dashboard-admin.yaml内容apiVersion: rbac.authorization.k8s.io/v1kind: ClusterRoleBindingmetadata: name: kubernetes-dashboardroleRef: apiGroup: rbac.authorization.k8s.io kind: ClusterRole name: cluster-adminsubjects: kind: ServiceAccount name: kubernetes-dashboard namespace: kubernetes-dashboardkubectl create-f dashboard-admin.yaml

后通过skip登陆dashboard便有了管理集群的权限.

创建Pod控制node节点,该pod主要是将宿主机根目录挂载到容器tmp目录下。

新建一个Pod如下:

通过该容器的tmp目录管理node节点的文件

攻击etcd

Kubernetes默认使用了etcd v3来存储数据,若能na

etcd对内暴露2379端口，本地127.0.0.1可免认证访问.其他地址要带—endpoint参数和cert进行认证。

未授权访问流程:

检查是否正常链接etcdctl endpoint health读取service account tokenetcdctl get/--prefix--keys-only| grep/secrets/kube-system/clusterrole通过token认访问API-Server端口6443，接管集群：kubectl--insecure-skip-tls-verify-s "[ey...]"-n kube-system get pods

攻击docker remote api(Docker daemon公网暴露)

2375是docker远程操控的默认端口，通过这个端口可以直接对远程的docker守护进程进行操作。Docker守护进程默认监听2375端口且未鉴权.

当机器以方式启动daemon时，可以在外部机器对该机器的docker daemon进行直接操作：

docker daemon-H=0.0.0.0:2375

之后依次执行systemctl daemon-reload、systemctl restart docker

外部主机使用即可操作暴露2375端口的主机.

-H

因此当你有访问到目标Docker API的网络能力或主机能力的时候，你就拥有了控制当前服务器的能力。我们可以利用Docker API在远程主机上创建一个特权容器，并且挂载主机根目录到容器.

检测目标是否存在docker api未授权访问漏洞的方式也很简单，访问http://[host]:[port]/info路径是否含有ContainersRunning、DockerRootDir等关键字。

攻击kubectl proxy

二次开发所产生的问题

管理Kubernetes无论是使用 kubectl或 Kubernetes dashboard的UI功能，其实都是间接在和 APIServer做交互.