AWS - EBS Privesc

Reading time: 2 minutes

EBS

ebs:ListSnapshotBlocks, ebs:GetSnapshotBlock, ec2:DescribeSnapshots

해당 권한을 가진 공격자는 볼륨 스냅샷을 로컬로 다운로드하여 분석하고(예: 비밀이나 소스 코드 등) 그 안에서 민감한 정보를 검색할 수 있습니다. 방법은 다음에서 확인하세요:

AWS - EBS Snapshot Dump

다음과 같은 다른 권한들도 유용할 수 있습니다: ec2:DescribeInstances, ec2:DescribeVolumes, ec2:DeleteSnapshot, ec2:CreateSnapshot, ec2:CreateTags

The tool https://github.com/Static-Flow/CloudCopy performs this attack to extract passwords from a domain controller.

Potential Impact: 스냅샷에서 민감한 정보를 찾아 간접적인 privesc가 발생할 수 있습니다(심지어 Active Directory 비밀번호까지 얻을 수 있음).

ec2:CreateSnapshot

이 권한(EC2:CreateSnapshot)을 가진 AWS 사용자는 Domain Controller의 스냅샷을 생성하여 자신이 제어하는 인스턴스에 마운트한 뒤, Impacket의 secretsdump 프로젝트에서 사용할 NTDS.dit 및 SYSTEM을 내보내는 레지스트리 하이브 파일을 얻어 모든 도메인 사용자의 해시를 탈취할 수 있습니다.

이 공격을 자동화하려면 이 도구를 사용할 수 있습니다: https://github.com/Static-Flow/CloudCopy 또는 스냅샷 생성 후 이전 기법들 중 하나를 사용할 수도 있습니다.