AWS - S3 Post Exploitation

Reading time: 3 minutes

tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks

S3

Za više informacija proverite:

AWS - S3, Athena & Glacier Enum

Osetljive Informacije

Ponekad ćete moći da pronađete osetljive informacije u čitljivim u bucket-ima. Na primer, terraform state tajne.

Pivotiranje

Različite platforme mogu koristiti S3 za skladištenje osetljivih sredstava.
Na primer, airflow može skladištiti DAGs kod tamo, ili se web stranice mogu direktno servirati iz S3. Napadač sa pravima pisanja može modifikovati kod iz bucket-a da pivotira na druge platforme, ili preuzeti naloge modifikujući JS datoteke.

S3 Ransomware

U ovom scenariju, napadač kreira KMS (Key Management Service) ključ u svom AWS nalogu ili drugom kompromitovanom nalogu. Zatim čini ovaj ključ dostupnim svima na svetu, omogućavajući bilo kojem AWS korisniku, ulozi ili nalogu da enkriptuje objekte koristeći ovaj ključ. Međutim, objekti se ne mogu dekriptovati.

Napadač identifikuje cilj S3 bucket i dobija pristup na nivou pisanja koristeći različite metode. To može biti zbog loše konfiguracije bucket-a koja ga izlaže javno ili napadač dobija pristup AWS okruženju. Napadač obično cilja bucket-e koji sadrže osetljive informacije kao što su lične identifikacione informacije (PII), zaštićene zdravstvene informacije (PHI), logove, backup-e i još mnogo toga.

Da bi utvrdio da li se bucket može ciljati za ransomware, napadač proverava njegovu konfiguraciju. Ovo uključuje verifikaciju da li je S3 Object Versioning omogućen i da li je multi-factor authentication delete (MFA delete) omogućen. Ako Object Versioning nije omogućen, napadač može nastaviti. Ako je Object Versioning omogućen, ali je MFA delete onemogućen, napadač može onemogućiti Object Versioning. Ako su i Object Versioning i MFA delete omogućeni, postaje teže za napadača da ransomware-uje taj specifični bucket.

Koristeći AWS API, napadač menja svaki objekat u bucket-u sa enkriptovanom kopijom koristeći svoj KMS ključ. Ovo efikasno enkriptuje podatke u bucket-u, čineći ih nedostupnim bez ključa.

Da bi dodatno pritisnuo, napadač zakazuje brisanje KMS ključa korišćenog u napadu. Ovo daje cilju 7-dnevni period da povrati svoje podatke pre nego što ključ bude obrisan i podaci postanu trajno izgubljeni.

Na kraju, napadač može otpremiti konačnu datoteku, obično nazvanu "ransom-note.txt," koja sadrži uputstva za cilj o tome kako da povrati svoje datoteke. Ova datoteka se otprema bez enkripcije, verovatno da bi privukla pažnju cilja i obavestila ih o ransomware napadu.

Za više informacija proverite originalno istraživanje.

tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks