AWS - EC2, EBS, ELB, SSM, VPC & VPN Enum

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks

• Consultez les subscription plans!
• Rejoignez le 💬 Discord group ou le telegram group ou suivez-nous sur Twitter 🐦 @hacktricks_live.
• Partagez des hacking tricks en soumettant des PRs aux HackTricks et HackTricks Cloud github repos.

VPC & mise en réseau

Learn what a VPC is and about its components in:

AWS - VPC & Networking Basic Information

EC2

Amazon EC2 is utilized for initiating serveurs virtuels. It permet la configuration de la sécurité et du réseau ainsi que la gestion du stockage. La flexibilité d’Amazon EC2 se manifeste par sa capacité à faire évoluer les ressources vers le haut ou vers le bas, s’adaptant efficacement aux variations de besoins ou aux pics de trafic. Cette fonctionnalité réduit la nécessité de prévoir précisément le trafic.

Choses intéressantes à énumérer dans EC2 :

• Machines virtuelles
• Clés SSH
• User Data
• EC2s/AMIs/Snapshots existants
• mise en réseau
• Réseaux
• Sous-réseaux
• IP publiques
• Ports ouverts
• Connexions intégrées avec d’autres réseaux en dehors d’AWS

Instance Profiles

L’utilisation de roles pour accorder des permissions aux applications qui s’exécutent sur des EC2 instances nécessite une configuration supplémentaire. Une application exécutée sur une instance EC2 est abstraite d’AWS par le système d’exploitation virtualisé. En raison de cette séparation supplémentaire, il est nécessaire d’effectuer une étape additionnelle pour attribuer un rôle AWS et ses permissions associées à une instance EC2 et les rendre disponibles pour ses applications.

Cette étape supplémentaire est la création d’un instance profile attaché à l’instance. L’instance profile contient le role et peut fournir les credentials temporaires du role à une application qui s’exécute sur l’instance. Ces credentials temporaires peuvent ensuite être utilisés dans les appels API de l’application pour accéder aux ressources et limiter l’accès uniquement aux ressources spécifiées par le role. Notez que un seul role peut être assigné à une EC2 instance à la fois, et toutes les applications sur l’instance partagent le même role et les mêmes permissions.

Metadata Endpoint

Les metadata AWS EC2 sont des informations sur une instance Amazon Elastic Compute Cloud (EC2) qui sont disponibles pour l’instance à l’exécution. Ces metadata servent à fournir des informations sur l’instance, telles que son instance ID, la zone de disponibilité dans laquelle elle s’exécute, le IAM role associé à l’instance, et le hostname de l’instance.

Cloud SSRF - HackTricks

Énumération

# Get EC2 instances
aws ec2 describe-instances
aws ec2 describe-instance-status #Get status from running instances

# Get user data from each ec2 instance
for instanceid in $(aws ec2 describe-instances --profile <profile> --region us-west-2 | grep -Eo '"i-[a-zA-Z0-9]+' | tr -d '"'); do
echo "Instance ID: $instanceid"
aws ec2 describe-instance-attribute --profile <profile> --region us-west-2 --instance-id "$instanceid" --attribute userData | jq ".UserData.Value" | tr -d '"' | base64 -d
echo ""
echo "-------------------"
done

# Instance profiles
aws iam list-instance-profiles
aws iam list-instance-profiles-for-role --role-name <name>

# Get tags
aws ec2 describe-tags

# Get volumes
aws ec2 describe-volume-status
aws ec2 describe-volumes

# Get snapshots
aws ec2 describe-snapshots --owner-ids self

# Scheduled instances
aws ec2 describe-scheduled-instances

# Get custom images
aws ec2 describe-images --owners self

# Get Elastic IPs
aws ec2 describe-addresses

# Get current output
aws ec2 get-console-output --instance-id [id]

# Get a JPG-format screenshot of a running instance
aws ec2 get-console-screenshot --instance [id]

# Get VPN customer gateways
aws ec2 describe-customer-gateways
aws ec2 describe-vpn-gateways
aws ec2 describe-vpn-connections

# List conversion tasks to upload/download VMs
aws ec2 describe-conversion-tasks
aws ec2 describe-import-image-tasks

# Get Bundle Tasks
aws ec2 describe-bundle-tasks

# Get Classic Instances
aws ec2 describe-classic-link-instances

# Get Dedicated Hosts
aws ec2 describe-hosts

# Get SSH Key Pairs
aws ec2 describe-key-pairs

# Get Internet Gateways
aws ec2 describe-internet-gateways

# Get NAT Gateways
aws ec2 describe-nat-gateways

# Get subnetworks
aws ec2 describe-subnets

# Get FW rules
aws ec2 describe-network-acls

# Get security groups
aws ec2 describe-security-groups

# Get interfaces
aws ec2 describe-network-interfaces

# Get routes table
aws ec2 describe-route-tables

# Get VPCs
aws ec2 describe-vpcs
aws ec2 describe-vpc-peering-connections

Unauthenticated Access

AWS - EC2 Unauthenticated Enum

Privesc

In the following page you can check how to abuse EC2 permissions to escalate privileges:

AWS - EC2 Privesc

Post-Exploitation

AWS - EC2, EBS, SSM & VPC Post Exploitation

EBS

Amazon EBS (Elastic Block Store) instantanés sont essentiellement des sauvegardes statiques des volumes AWS EBS. En d’autres termes, ce sont des copies des disques attachés à une EC2 Instance à un moment donné. Les snapshots EBS peuvent être copiés entre régions et comptes, ou même téléchargés et exécutés localement.

Les snapshots peuvent contenir des informations sensibles telles que du code source ou des clés API, donc, si vous en avez la possibilité, il est recommandé de les vérifier.

Difference AMI & EBS

Un AMI est utilisé pour lancer une EC2 instance, tandis qu’un EC2 Snapshot est utilisé pour sauvegarder et récupérer les données stockées sur un volume EBS. Bien qu’un EC2 Snapshot puisse être utilisé pour créer un nouvel AMI, ce n’est pas la même chose qu’un AMI, et il n’inclut pas d’informations sur le système d’exploitation, le serveur d’applications ou les autres logiciels nécessaires pour exécuter une application.

Privesc

In the following page you can check how to abuse EBS permissions to escalate privileges:

AWS - EBS Privesc

SSM

Amazon Simple Systems Manager (SSM) permet de gérer à distance des flottes d’EC2 instances pour faciliter leur administration. Chacune de ces instances doit exécuter le service SSM Agent car c’est ce service qui recevra les actions et les exécutera depuis l’AWS API.

Le SSM Agent permet à Systems Manager de mettre à jour, gérer et configurer ces ressources. L’agent traite les requêtes du service Systems Manager dans l’AWS Cloud, puis les exécute comme spécifié dans la requête.

The SSM Agent comes preinstalled in some AMIs or you need to manually install them on the instances. Also, the IAM Role used inside the instance needs to have the policy AmazonEC2RoleforSSM attached to be able to communicate.

Énumération

aws ssm describe-instance-information
aws ssm describe-parameters
aws ssm describe-sessions --state [Active|History]
aws ssm describe-instance-patches --instance-id <id>
aws ssm describe-instance-patch-states --instance-ids <id>
aws ssm describe-instance-associations-status --instance-id <id>

Vous pouvez vérifier sur une instance EC2 si Systems Manager est en cours d’exécution simplement en exécutant :

ps aux | grep amazon-ssm

Privesc

Sur la page suivante vous pouvez vérifier comment abuser des permissions SSM pour escalader les privilèges:

AWS - SSM Privesc

Perssistence

Sur la page suivante vous pouvez vérifier comment abuser des permissions SSM pour obtenir une persistance:

AWS - SSM Perssitence

ELB

Elastic Load Balancing (ELB) est un service d’équilibrage de charge pour les déploiements Amazon Web Services (AWS). ELB distribue automatiquement le trafic applicatif entrant et ajuste les ressources pour répondre à la demande.

Enumération

# List internet-facing ELBs
aws elb describe-load-balancers
aws elb describe-load-balancers | jq '.LoadBalancerDescriptions[]| select( .Scheme | contains("internet-facing"))|.DNSName'

# DONT FORGET TO CHECK VERSION 2
aws elbv2 describe-load-balancers
aws elbv2 describe-load-balancers | jq '.LoadBalancers[].DNSName'
aws elbv2 describe-listeners --load-balancer-arn <load_balancer_arn>

Modèles de lancement & groupes Auto Scaling

Énumération

# Launch templates
aws ec2 describe-launch-templates
aws ec2 describe-launch-templates --launch-template-id <launch_template_id>
## Get details, like user data
aws ec2 describe-launch-template-versions --launch-template-id <launch_template_id>

# Autoscaling
aws autoscaling describe-auto-scaling-groups
aws autoscaling describe-auto-scaling-instances
aws autoscaling describe-launch-configurations
aws autoscaling describe-load-balancer-target-groups
aws autoscaling describe-load-balancers

Nitro

AWS Nitro est une suite de technologies innovantes qui constituent la plateforme sous-jacente pour les instances AWS EC2. Introduit par Amazon pour améliorer la sécurité, les performances et la fiabilité, Nitro s’appuie sur des composants matériels personnalisés et un hyperviseur léger. Il déplace une grande partie des fonctions de virtualisation traditionnelles vers du matériel et des logiciels dédiés, minimisant la surface d’attaque et améliorant l’efficacité des ressources. En déchargeant les fonctions de virtualisation, Nitro permet aux instances EC2 d’offrir des performances proches du bare-metal, ce qui est particulièrement avantageux pour les applications gourmandes en ressources. De plus, le Nitro Security Chip garantit spécifiquement la sécurité du matériel et du firmware, renforçant encore son architecture robuste.

Get more information and how to enumerate it from:

AWS - Nitro Enum

VPN

Un VPN permet de connecter votre réseau sur site (site-to-site VPN) ou les ordinateurs portables des collaborateurs (Client VPN) à un AWS VPC, afin que les services puissent être accessibles sans avoir à les exposer sur Internet.

Basic AWS VPN Components

1. Customer Gateway:

• Un Customer Gateway est une ressource que vous créez dans AWS pour représenter votre côté d’une connexion VPN.
• Il s’agit essentiellement d’un périphérique physique ou d’une application logicielle de votre côté de la connexion Site-to-Site VPN.
• Vous fournissez les informations de routage et l’adresse IP publique de votre périphérique réseau (comme un router ou un firewall) à AWS pour créer un Customer Gateway.
• Il sert de point de référence pour la configuration de la connexion VPN et n’entraîne pas de frais supplémentaires.

2. Virtual Private Gateway:

• Un Virtual Private Gateway (VPG) est le concentrateur VPN du côté Amazon de la connexion Site-to-Site VPN.
• Il est attaché à votre VPC et sert de cible pour votre connexion VPN.
• Le VPG est le point de terminaison côté AWS pour la connexion VPN.
• Il gère la communication sécurisée entre votre VPC et votre réseau sur site.

3. Site-to-Site VPN Connection:

• Une connexion Site-to-Site VPN relie votre réseau sur site à un VPC via un tunnel VPN sécurisé IPsec.
• Ce type de connexion nécessite un Customer Gateway et un Virtual Private Gateway.
• Elle est utilisée pour une communication sécurisée, stable et cohérente entre votre centre de données ou réseau et votre environnement AWS.
• Typiquement utilisée pour des connexions régulières et à long terme et facturée en fonction du volume de données transférées via la connexion.

4. Client VPN Endpoint:

• Un Client VPN endpoint est une ressource que vous créez dans AWS pour activer et gérer des sessions VPN client.
• Il est utilisé pour permettre à des dispositifs individuels (comme des ordinateurs portables, smartphones, etc.) de se connecter de manière sécurisée aux ressources AWS ou à votre réseau sur site.
• Il diffère du Site-to-Site VPN en ce qu’il est conçu pour des clients individuels plutôt que pour connecter des réseaux entiers.
• Avec Client VPN, chaque appareil client utilise un logiciel client VPN pour établir une connexion sécurisée.

You can find more information about the benefits and components of AWS VPNs here.

Enumeration

# VPN endpoints
## Check used subnetwork, authentication, SGs, connected...
aws ec2 describe-client-vpn-endpoints

## Get AWS network info related to the vpn endpoint
aws ec2 describe-client-vpn-target-networks --client-vpn-endpoint-id <id>

## Get AWS subnet & ip range the VPN iconnected to
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id <id>

## Check authorization rules
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id <id>

## Get current connections to the VPN endpoint
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id <id>

# Get VPN gateways and check with which VPC each is connected
aws ec2 describe-vpn-gateways

# Get VPN site-to-site connections
aws ec2 describe-vpn-connections

Énumération locale

Identifiants temporaires locaux

Lorsque AWS VPN Client est utilisé pour se connecter à un VPN, l’utilisateur va généralement se connecter à AWS pour obtenir l’accès au VPN. Ensuite, des identifiants AWS sont créés et stockés localement pour établir la connexion VPN. Ces identifiants sont stockés dans $HOME/.config/AWSVPNClient/TemporaryCredentials/<region>/temporary-credentials.txt et contiennent un AccessKey, un SecretKey et un Token.

Les identifiants appartiennent à l’utilisateur arn:aws:sts::<acc-id>:assumed-role/aws-vpn-client-metrics-analytics-access-role/CognitoIdentityCredentials (TODO: rechercher plus d’informations sur les permissions de ces identifiants).

opvn config files

Si une connexion VPN a été établie vous devriez rechercher des fichiers de config .opvn sur le système. De plus, un endroit où vous pourriez trouver les configurations est $HOME/.config/AWSVPNClient/OpenVpnConfigs

Post Exploitaiton

AWS - VPN Post Exploitation

Références

• https://docs.aws.amazon.com/batch/latest/userguide/getting-started-ec2.html

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks

• Consultez les subscription plans!
• Rejoignez le 💬 Discord group ou le telegram group ou suivez-nous sur Twitter 🐦 @hacktricks_live.
• Partagez des hacking tricks en soumettant des PRs aux HackTricks et HackTricks Cloud github repos.