AWS - EC2 Persistence

Reading time: 3 minutes

tip

Jifunze na fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Jifunze na fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Jifunze na fanya mazoezi ya Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks

EC2

Kwa taarifa zaidi angalia:

AWS - EC2, EBS, ELB, SSM, VPC & VPN Enum

Security Group Connection Tracking Persistence

Iwapo mlinzi atagundua kwamba EC2 instance was compromised huenda atajaribu kutenganisha mtandao wa mashine. Anaweza kufanya hivyo kwa kutumia wazi ya Deny NACL (lakini NACLs huathiri subnet nzima), au kwa kubadilisha security group ili kuto ruhusu aina yoyote ya inbound au outbound trafiki.

Ikiwa mshambuliaji alikuwa na reverse shell originated from the machine, hata kama SG imebadilishwa ili kuto ruhusu inbound au outbound traffic, connection haitauawa kutokana na Security Group Connection Tracking.

EC2 Lifecycle Manager

Huduma hii inaruhusu kupanga utengenezaji wa AMIs na snapshots na hata kuzishare na akaunti nyingine.
Mshambuliaji anaweza kusanidi mchakato wa uzalishaji wa AMIs au snapshots za picha zote au volumu zote kila wiki na kuzishare na akaunti yake.

Scheduled Instances

Inawezekana kupanga instances ziendeshwe kila siku, kila wiki au hata kila mwezi. Mshambuliaji anaweza kuendesha mashine yenye hadhi za juu au ufikiaji wa kuvutia ambapo anaweza kupata ufikiaji.

Spot Fleet Request

Spot instances ni gharama nafuu kuliko instances za kawaida. Mshambuliaji anaweza kuanzisha small spot fleet request for 5 year (kwa mfano), na upangaji wa automatic IP na user data inayomtumia mshambuliaji taarifa wanaporudi spot instance start pamoja na anwani ya IP, na ikiwa imeambatana na high privileged IAM role.

Backdoor Instances

Mshambuliaji anaweza kupata ufikiaji wa instances na kuziweka backdoor kwa njia zifuatazo:

  • Kwa mfano, kutumia rootkit ya jadi
  • Kuongeza public SSH key mpya (angalia EC2 privesc options)
  • Kuweka backdoor kwenye User Data

Backdoor Launch Configuration

  • Kuweka backdoor kwenye AMI inayotumika
  • Kuweka backdoor kwenye User Data
  • Kuweka backdoor kwenye Key Pair

EC2 ReplaceRootVolume Task (Stealth Backdoor)

Badilisha root EBS volume ya instance inayotembea kwa ile iliyojengwa kutoka AMI au snapshot inayodhibitiwa na mshambuliaji kwa kutumia CreateReplaceRootVolumeTask. Instance inaendelea kuwa na ENIs, IPs, na role, ikianza kwa code yenye madhara huku ikionekana isiyobadilika.

AWS - EC2 ReplaceRootVolume Task (Stealth Backdoor / Persistence)

VPN

Unda VPN ili mshambuliaji aweze kuunganishwa moja kwa moja na VPC.

VPC Peering

Unda peering connection kati ya VPC ya mwathiriwa na VPC ya mshambuliaji ili aweze kufikia VPC ya mwathiriwa.

tip

Jifunze na fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Jifunze na fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Jifunze na fanya mazoezi ya Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks