AWS - Macie Privesc

Reading time: 2 minutes

tip

Jifunze na fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Jifunze na fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Jifunze na fanya mazoezi ya Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks

Macie

Kwa maelezo zaidi kuhusu Macie angalia:

AWS - Macie Enum

Amazon Macie - Pita Reveal Sample Ukaguzi wa Uaminifu

AWS Macie ni huduma ya usalama inayogundua kiotomatiki data nyeti ndani ya mazingira ya AWS, kama vile akidi, taarifa zinazoweza kutambulika binafsi (PII), na data nyingine za siri. Wakati Macie inatambua akidi nyeti, kama vile funguo za siri za AWS zilizohifadhiwa katika S3 bucket, inaunda matokeo yanayomruhusu mmiliki kuona "kielelezo" cha data iliyogunduliwa. Kwa kawaida, mara faili nyeti inapondolewa kutoka S3 bucket, inatarajiwa kuwa siri haiwezi tena kupatikana.

Hata hivyo, pita imegundulika ambapo mshambuliaji mwenye ruhusa za kutosha anaweza ku-upload tena faili yenye jina sawa lakini ikiwa na data tofauti, zisizo nyeti. Hii inasababisha Macie kuhusisha faili iliyopakiwa upya na matokeo ya awali, ikimruhusu mshambuliaji kutumia kipengele cha "Reveal Sample" kutoa siri iliyogunduliwa awali. Tatizo hili linaweka hatari kubwa ya usalama, kwani siri ambazo zilidhaniwa kufutwa zinabaki kupatikana kupitia njia hii.

flow

Hatua za Kurudia:

  1. Pakia faili (mfano, test-secret.txt) kwenye S3 bucket yenye data nyeti, kama funguo ya siri ya AWS. Subiri AWS Macie ikague na kuunda matokeo.

  2. Tembelea AWS Macie Findings, pata matokeo yaliyoundwa, na tumia kipengele cha Reveal Sample kuona siri iliyogunduliwa.

  3. Futa test-secret.txt kutoka S3 bucket na thibitisha kuwa haipo tena.

  4. Unda faili mpya yenye jina test-secret.txt ikiwa na data za dummy na uipakie tena kwenye S3 bucket hiyo hiyo ukitumia akaunti ya mshambuliaji.

  5. Rudi kwenye AWS Macie Findings, pata matokeo ya awali, na bonyeza Reveal Sample tena.

  6. Angalia kuwa Macie bado inaonyesha siri ya awali, licha ya faili kufutwa na kubadilishwa na maudhui tofauti kutoka kwa akaunti tofauti, katika kesi yetu itakuwa akaunti ya mshambuliaji.

Muhtasari:

Ukiukaji huu unamruhusu mshambuliaji mwenye ruhusa za kutosha za AWS IAM kurejesha siri zilizogunduliwa awali hata baada ya faili ya awali kufutwa kutoka S3. Ikiwa funguo ya siri ya AWS, token ya ufikiaji, au akidi nyingine nyeti inafichuliwa, mshambuliaji anaweza kutumia kasoro hii kuipata na kupata ufikiaji usioidhinishwa kwa rasilimali za AWS. Hii inaweza kusababisha kupanda kwa ruhusa, ufikiaji usioidhinishwa wa data, au kuathiri zaidi mali za wingu, na kusababisha uvunjaji wa data na usumbufu wa huduma.