AWS - STS Post Exploitation

Tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks

STS

Para mais informações:

AWS - IAM, Identity Center & SSO Enum

De IAM Creds para Console

Se você conseguiu obter algumas credenciais IAM, talvez esteja interessado em acessar o web console usando as seguintes ferramentas.
Observe que o user/role deve ter a permissão sts:GetFederationToken.

Script customizado

O script a seguir usará o default profile e uma localização AWS padrão (não gov e não cn) para lhe fornecer uma URL assinada que você pode usar para fazer login no console web:

# Get federated creds (you must indicate a policy or they won't have any perms)
## Even if you don't have Admin access you can indicate that policy to make sure you get all your privileges
## Don't forget to use [--profile <prof_name>] in the first line if you need to
output=$(aws sts get-federation-token --name consoler --policy-arns arn=arn:aws:iam::aws:policy/AdministratorAccess)

if [ $? -ne 0 ]; then
echo "The command 'aws sts get-federation-token --name consoler' failed with exit status $status"
exit $status
fi

# Parse the output
session_id=$(echo $output | jq -r '.Credentials.AccessKeyId')
session_key=$(echo $output | jq -r '.Credentials.SecretAccessKey')
session_token=$(echo $output | jq -r '.Credentials.SessionToken')

# Construct the JSON credentials string
json_creds=$(echo -n "{\"sessionId\":\"$session_id\",\"sessionKey\":\"$session_key\",\"sessionToken\":\"$session_token\"}")

# Define the AWS federation endpoint
federation_endpoint="https://signin.aws.amazon.com/federation"

# Make the HTTP request to get the sign-in token
resp=$(curl -s "$federation_endpoint" \
--get \
--data-urlencode "Action=getSigninToken" \
--data-urlencode "SessionDuration=43200" \
--data-urlencode "Session=$json_creds"
)
signin_token=$(echo -n $resp | jq -r '.SigninToken' | tr -d '\n' | jq -sRr @uri)


# Give the URL to login
echo -n "https://signin.aws.amazon.com/federation?Action=login&Issuer=example.com&Destination=https%3A%2F%2Fconsole.aws.amazon.com%2F&SigninToken=$signin_token"

aws_consoler

Você pode gerar um link para o console web com https://github.com/NetSPI/aws_consoler.

cd /tmp
python3 -m venv env
source ./env/bin/activate
pip install aws-consoler
aws_consoler [params...] #This will generate a link to login into the console

Warning

Garanta que o usuário IAM tenha permissão sts:GetFederationToken, ou forneça uma role para assumir.

aws-vault

aws-vault é uma ferramenta para armazenar e acessar com segurança credenciais AWS em um ambiente de desenvolvimento.

aws-vault list
aws-vault exec jonsmith -- aws s3 ls # Execute aws cli with jonsmith creds
aws-vault login jonsmith # Open a browser logged as jonsmith

Note

Você também pode usar aws-vault para obter uma sessão do console do navegador

Do Web Console para Credenciais IAM

A extensão do navegador https://github.com/AI-redteam/clier é capaz de interceptar, na rede, credenciais IAM antes que sejam protegidas na memória do navegador.

Bypass User-Agent restrictions from Python

Se existir uma restrição para executar certas ações com base no user agent usado (por exemplo, restringir o uso da biblioteca python boto3 com base no user agent), é possível usar a técnica anterior para conectar-se ao web console via um browser, ou você pode diretamente modificar o boto3 user-agent fazendo:

# Shared by ex16x41
# Create a client
session = boto3.Session(profile_name="lab6")
client = session.client("secretsmanager", region_name="us-east-1")

# Change user agent of the client
client.meta.events.register( 'before-call.secretsmanager.GetSecretValue', lambda params, **kwargs: params['headers'].update({'User-Agent': 'my-custom-tool'}) )

# Perform the action
response = client.get_secret_value(SecretId="flag_secret") print(response['SecretString'])

sts:GetFederationToken

Com essa permissão é possível criar uma identidade federada para o usuário que a executa, limitada às permissões que esse usuário possui.

aws sts get-federation-token --name <username>

O token retornado por sts:GetFederationToken pertence à identidade federada do usuário que efetuou a chamada, mas com permissões restritas. Mesmo que o usuário tenha privilégios de administrador, certas ações, como listar IAM users ou anexar políticas, não podem ser realizadas com o token federado.

Além disso, esse método é um pouco mais furtivo, já que o usuário federado não aparece no AWS Portal; ele só pode ser observado por meio dos logs do CloudTrail ou por ferramentas de monitoramento.

Tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks