AWS - CloudFront Post Exploitation

Tip

Ucz się & ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się & ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Ucz się & ćwicz Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Wspieraj HackTricks

CloudFront

Po więcej informacji zobacz:

AWS - CloudFront Enum

cloudfront:Delete*

Atakujący, któremu przyznano cloudfront:Delete*, może usuwać distributions, policies i inne krytyczne obiekty konfiguracji CDN — na przykład distributions, cache/origin policies, key groups, origin access identities, functions/configs oraz powiązane zasoby. Może to spowodować przerwanie działania usługi, utratę treści oraz usunięcie konfiguracji lub artefaktów śledczych.

Aby usunąć distribution, atakujący może użyć:

aws cloudfront delete-distribution \
--id <DISTRIBUTION_ID> \
--if-match <ETAG>

Man-in-the-Middle

Ten blog post proponuje kilka różnych scenariuszy, w których Lambda może zostać dodana (lub zmodyfikowana, jeśli już jest używana) do komunikacji przez CloudFront w celu wykradzenia informacji użytkownika (np. ciasteczka sesji cookie) oraz zmodyfikowania odpowiedzi (wstrzyknięcie złośliwego skryptu JS).

scenariusz 1: MitM gdzie CloudFront jest skonfigurowany do dostępu do HTML w bucket

  • Utwórz złośliwą funkcję.
  • Powiąż ją z dystrybucją CloudFront.
  • Ustaw event type to “Viewer Response”.

Uzyskując dostęp do odpowiedzi możesz wykradać cookie użytkownika i wstrzykiwać złośliwy skrypt JS.

scenariusz 2: MitM gdzie CloudFront już używa funkcji Lambda

  • Zmodyfikuj kod funkcji Lambda, aby wykradać wrażliwe informacje

Możesz sprawdzić tf code to recreate this scenarios here.

Tip

Ucz się & ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się & ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Ucz się & ćwicz Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Wspieraj HackTricks