HackTricks CloudAWS - EC2 Persistence
Tip
Μάθετε & εξασκηθείτε στο AWS Hacking:
HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking:HackTricks Training GCP Red Team Expert (GRTE)
Μάθετε & εξασκηθείτε στο Az Hacking:HackTricks Training Azure Red Team Expert (AzRTE)
Υποστηρίξτε το HackTricks
- Δείτε τα subscription plans!
- Εγγραφείτε στο 💬 Discord group ή την telegram group ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.
- Μοιραστείτε τα hacking tricks υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.
EC2
Για περισσότερες πληροφορίες δείτε:
AWS - EC2, EBS, ELB, SSM, VPC & VPN Enum
Security Group Connection Tracking Persistence
Αν ένας αμυνόμενος διαπιστώσει ότι μια EC2 instance έχει παραβιαστεί, πιθανότατα θα προσπαθήσει να απομονώσει το network της μηχανής. Μπορεί να το κάνει με ένα ρητό Deny NACL (αλλά τα NACLs επηρεάζουν ολόκληρο το subnet), ή αλλάζοντας το security group ώστε να μην επιτρέπει κανένα είδος inbound ή outbound traffic.
Αν ο επιτιθέμενος είχε ένα reverse shell originated from the machine, ακόμα και αν το SG τροποποιηθεί ώστε να μην επιτρέπει inbound ή outbound traffic, η σύνδεση δεν θα τερματιστεί λόγω Security Group Connection Tracking.
EC2 Lifecycle Manager
Αυτό το service επιτρέπει να προγραμματίσετε τη δημιουργία AMIs και snapshots και ακόμη και να τα μοιράσετε με άλλους λογαριασμούς.
Ένας επιτιθέμενος θα μπορούσε να ρυθμίσει τη δημιουργία AMIs ή snapshots όλων των images ή όλων των volumes κάθε εβδομάδα και να τα μοιράζεται με τον λογαριασμό του.
Scheduled Instances
Είναι δυνατόν να προγραμματίσετε instances να τρέχουν καθημερινά, εβδομαδιαία ή ακόμα και μηνιαία. Ένας επιτιθέμενος θα μπορούσε να τρέξει μια μηχανή με υψηλά προνόμια ή ενδιαφέροντα access όπου θα μπορούσε να εισέλθει.
Spot Fleet Request
Οι Spot instances είναι φθηνότερες από τις κανονικές instances. Ένας επιτιθέμενος θα μπορούσε να ξεκινήσει ένα μικρό spot fleet request για 5 χρόνια (για παράδειγμα), με αυτόματη ανάθεση IP και ένα user data που στέλνει στον επιτιθέμενο όταν το spot instance ξεκινήσει την IP address και με ένα υψηλά προνομιούχο IAM role.
Backdoor Instances
Ένας επιτιθέμενος θα μπορούσε να αποκτήσει πρόσβαση στις instances και να τις backdoor-άρει:
- Χρησιμοποιώντας για παράδειγμα ένα παραδοσιακό rootkit
- Προσθέτοντας ένα νέο public SSH key (βλ. EC2 privesc options)
- Backdooring το User Data
Backdoor Launch Configuration
- Backdoor the used AMI
- Backdoor the User Data
- Backdoor the Key Pair
EC2 ReplaceRootVolume Task (Stealth Backdoor)
Αντικαταστήστε το root EBS volume μιας τρέχουσας instance με ένα που έχει δημιουργηθεί από ένα AMI ή snapshot υπό έλεγχο του επιτιθέμενου χρησιμοποιώντας CreateReplaceRootVolumeTask. Η instance διατηρεί τα ENIs, IPs, και το role της, εκκινώντας ουσιαστικά σε κακόβουλο κώδικα ενώ φαίνεται αμετάβλητη.
AWS - EC2 ReplaceRootVolume Task (Stealth Backdoor / Persistence)
VPN
Δημιουργήστε ένα VPN ώστε ο επιτιθέμενος να μπορεί να συνδεθεί απευθείας στο VPC.
VPC Peering
Δημιουργήστε μια peering σύνδεση μεταξύ του θυματικού VPC και του attacker VPC ώστε να μπορεί να αποκτήσει πρόσβαση στο victim VPC.
Tip
Μάθετε & εξασκηθείτε στο AWS Hacking:
Μάθετε & εξασκηθείτε στο GCP Hacking:
Μάθετε & εξασκηθείτε στο Az Hacking:Υποστηρίξτε το HackTricks
- Δείτε τα subscription plans!
- Εγγραφείτε στο 💬 Discord group ή την telegram group ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.
- Μοιραστείτε τα hacking tricks υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.