AWS - CloudFront Post Exploitation

Reading time: 3 minutes

tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримка HackTricks

CloudFront

Для отримання додаткової інформації див.:

AWS - CloudFront Enum

cloudfront:Delete*

Атакувальник, якому надано cloudfront:Delete*, може видаляти distributions, policies та інші критичні об'єкти конфігурації CDN — наприклад distributions, cache/origin policies, key groups, origin access identities, functions/configs, і пов'язані ресурси. Це може призвести до порушення роботи сервісу, втрати контенту та видалення конфігураційних або судових артефактів.

Щоб видалити distribution, атакувальник може використати:

bash
aws cloudfront delete-distribution \
--id <DISTRIBUTION_ID> \
--if-match <ETAG>

Man-in-the-Middle

This blog post пропонує кілька різних сценаріїв, де Lambda може бути додано (або змінено, якщо вона вже використовується) у communication through CloudFront з метою stealing інформації користувача (наприклад сесійного cookie) та modifying response (injecting a malicious JS script).

scenario 1: MitM where CloudFront is configured to access some HTML of a bucket

  • Створіть зловмисну function.
  • Прив'яжіть її до CloudFront distribution.
  • Встановіть event type to "Viewer Response".

Отримавши доступ до response, ви можете вкрасти cookie користувача та inject шкідливий JS.

scenario 2: MitM where CloudFront is already using a lambda function

  • Змініть код lambda function щоб steal sensitive information

Ви можете переглянути tf code to recreate this scenarios here.

tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримка HackTricks