AWS - CloudFront Post Exploitation

Tip

学んで実践する AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
学んで実践する GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
学んで実践する Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks をサポートする

CloudFront

For more information check:

AWS - CloudFront Enum

cloudfront:Delete*

cloudfront:Delete* が付与された攻撃者は、distributions、policies、その他の重要なCDN設定オブジェクト（例: distributions、cache/origin policies、key groups、origin access identities、functions/configs、および関連リソース）を削除できます。これにより、サービス停止、コンテンツの損失、設定やフォレンジックアーティファクトの消失が発生する可能性があります。

To delete a distribution an attacker could use:

aws cloudfront delete-distribution \
--id <DISTRIBUTION_ID> \
--if-match <ETAG>

Man-in-the-Middle

This blog post は、Lambdaを（既に使用されている場合は変更する形で）CloudFront経由の通信に追加し、ユーザ情報（セッションのcookieなど）を盗み、レスポンスを改変（悪意あるJSスクリプトを注入）することを目的としたいくつかのシナリオを提案しています。

シナリオ1: MitM where CloudFront is configured to access some HTML of a bucket

  • 悪意ある functionを作成する。
  • それをCloudFrontのdistributionに関連付ける。
  • イベントタイプを “Viewer Response” に設定する。

レスポンスにアクセスすることで、ユーザのcookieを盗み、悪意あるJSを注入できます。

シナリオ2: MitM where CloudFront is already using a lambda function

  • Lambda functionのコードを修正して機密情報を盗む。

詳細はtf code to recreate this scenarios hereを確認してください。

Tip

学んで実践する AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
学んで実践する GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
学んで実践する Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks をサポートする