AWS - EC2 Persistence

Reading time: 3 minutes

tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримка HackTricks

EC2

Для отримання додаткової інформації перегляньте:

AWS - EC2, EBS, ELB, SSM, VPC & VPN Enum

Відстеження з'єднань групи безпеки

Якщо захисник виявить, що EC2 екземпляр був скомпрометований, він, ймовірно, спробує ізолювати мережу машини. Він може зробити це за допомогою явного Deny NACL (але NACL впливають на всю підмережу) або змінивши групу безпеки, не дозволяючи жодного виду вхідного або вихідного трафіку.

Якщо зловмисник мав реверс-шелл, що походить з машини, навіть якщо SG змінено, щоб не дозволяти вхідний або вихідний трафік, з'єднання не буде розірвано через Відстеження з'єднань групи безпеки.

EC2 Lifecycle Manager

Ця служба дозволяє планувати створення AMI та знімків і навіть ділитися ними з іншими обліковими записами.
Зловмисник може налаштувати генерацію AMI або знімків всіх образів або всіх томів кожного тижня і ділитися ними зі своїм обліковим записом.

Заплановані екземпляри

Можна запланувати екземпляри для запуску щодня, щотижня або навіть щомісяця. Зловмисник може запустити машину з високими привілеями або цікавим доступом, де він міг би отримати доступ.

Запит на флот Spot

Spot-екземпляри є дешевшими ніж звичайні екземпляри. Зловмисник може запустити маленький запит на флот Spot на 5 років (наприклад), з автоматичним призначенням IP і даними користувача, які надсилають зловмиснику коли spot-екземпляр запускається та IP-адресу з високопривілейованою IAM роллю.

Задні двері в екземплярах

Зловмисник може отримати доступ до екземплярів і встановити в них задні двері:

  • Використовуючи традиційний rootkit, наприклад
  • Додаючи новий публічний SSH ключ (перевірте опції підвищення привілеїв EC2)
  • Встановлюючи задні двері в дані користувача

Конфігурація запуску з задніми дверима

  • Встановити задні двері в використаний AMI
  • Встановити задні двері в дані користувача
  • Встановити задні двері в пару ключів

VPN

Створіть VPN, щоб зловмисник міг підключитися безпосередньо через нього до VPC.

VPC Peering

Створіть з'єднання пірінгу між VPC жертви та VPC зловмисника, щоб він міг отримати доступ до VPC жертви.

tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримка HackTricks