用途：面向渗透测试与红队场景，梳理针对 Kubernetes 服务网格（Istio/Linkerd/Envoy）的攻击方法论，从环境识别到配置操控、横向移动与证书窃取。
主要能力：分阶段覆盖环境识别（判断网格类型、版本、Sidecar 注入）、攻击决策树、Envoy Admin 接口利用（/clusters、/config_dump、/listeners、/certs 等）、Istio CRD 枚举与流量劫持（VirtualService、DestinationRule、Gateway、AuthorizationPolicy）、服务间横向移动、mTLS 证书窃取与身份伪造、AuthorizationPolicy 绕过、Linkerd 特定攻击、遥测与日志利用。
使用方式：需具备目标集群的 kubectl 权限或已进入 Pod。常用命令包括 kubectl get ns istio-system、kubectl get pods -n istio-system、curl -s http://localhost:15000/clusters、curl -s http://localhost:15000/config_dump、kubectl get virtualservices --all-namespaces -o yaml、kubectl get authorizationpolicies --all-namespaces -o yaml 等。完整命令与模板见 references/attack-techniques.md。
适用场景：目标集群已部署服务网格、发现 istio-system 或 linkerd 命名空间、存在 Envoy Sidecar 注入、需要利用网格进行横向移动或权限提升。
限制：修改 VirtualService/DestinationRule 会立即影响线上流量；删除 AuthorizationPolicy 会暴露服务并增加被发现风险；Envoy Admin 访问不产生 Istio 审计日志，但 kubectl 操作会被 K8s Audit Log 记录；STRICT mTLS 模式下非网格流量会被拒绝，PERMISSIVE 模式允许明文访问；窃取的证书有效期通常较短（Istio 默认 24 小时）；Linkerd Proxy Admin 默认在 4191 端口，功能少于 Envoy Admin，且无 VirtualService 等 CRD。仅限授权测试使用。