AWS - SNS Post Exploitation

Reading time: 4 minutes

SNS

For more information:

AWS - SNS Enum

메시지 차단

여러 경우 SNS topics는 모니터링되는 플랫폼( emails, slack messages... )으로 메시지를 전송하는 데 사용됩니다. 공격자가 클라우드에서 자신의 존재를 알리는 알림 메시지 전송을 차단하면 탐지되지 않은 상태로 남을 수 있습니다.

sns:DeleteTopic

공격자는 전체 SNS topic을 삭제하여 메시지 손실을 초래하고 해당 topic에 의존하는 애플리케이션에 영향을 줄 수 있습니다.

aws sns delete-topic --topic-arn <value>

Potential Impact: 삭제된 topic을 사용하는 애플리케이션에 메시지 손실 및 서비스 중단을 초래할 수 있음.

sns:Publish

공격자가 SNS topic으로 악성 또는 원치 않는 메시지를 전송하여 데이터 손상, 의도치 않은 동작 유발 또는 자원 고갈을 초래할 수 있음.

aws sns publish --topic-arn <value> --message <value>

Potential Impact: 데이터 손상, 의도하지 않은 동작 또는 리소스 고갈.

sns:SetTopicAttributes

공격자가 SNS 토픽의 속성을 수정하여 성능, 보안 또는 가용성에 영향을 미칠 수 있습니다.

aws sns set-topic-attributes --topic-arn <value> --attribute-name <value> --attribute-value <value>

잠재적 영향: 잘못된 구성으로 인해 성능 저하, 보안 문제 또는 가용성 감소가 발생할 수 있습니다.

sns:Subscribe , sns:Unsubscribe

공격자는 SNS topic에 구독(subscribe) 또는 구독 취소(unsubscribe)를 수행하여 메시지에 대한 무단 접근을 얻거나 해당 토픽에 의존하는 애플리케이션의 정상 동작을 방해할 수 있습니다.

aws sns subscribe --topic-arn <value> --protocol <value> --endpoint <value>
aws sns unsubscribe --subscription-arn <value>

Potential Impact: 메시지에 대한 무단 접근, 영향을 받은 토픽에 의존하는 애플리케이션의 서비스 중단.

sns:AddPermission , sns:RemovePermission

공격자가 권한 없는 사용자나 서비스에 SNS 토픽에 대한 접근 권한을 부여하거나, 정당한 사용자의 권한을 철회하여 해당 토픽에 의존하는 애플리케이션의 정상 동작을 방해할 수 있습니다.

aws sns add-permission --topic-arn <value> --label <value> --aws-account-id <value> --action-name <value>
aws sns remove-permission --topic-arn <value> --label <value>

잠재적 영향: 무단 사용자의 topic 접근, 메시지 노출 또는 무단 사용자나 서비스에 의한 topic 조작, topic에 의존하는 애플리케이션의 정상 동작 방해.

sns:TagResource , sns:UntagResource

공격자는 SNS 리소스에 태그를 추가, 수정 또는 제거할 수 있어 조직의 비용 할당, 리소스 추적 및 태그 기반 접근 제어 정책을 방해할 수 있습니다.

aws sns tag-resource --resource-arn <value> --tags Key=<key>,Value=<value>
aws sns untag-resource --resource-arn <value> --tag-keys <key>

잠재적 영향: 비용 할당, 자원 추적 및 태그 기반 접근 제어 정책의 중단.

더 많은 SNS Post-Exploitation Techniques

AWS - SNS Message Data Protection Bypass via Policy Downgrade

SNS FIFO Archive Replay Exfiltration via Attacker SQS FIFO Subscription

AWS - SNS to Kinesis Firehose Exfiltration (Fanout to S3)