AWS - Macie Privesc

Tip

学习并练习 AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
学习并练习 GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
学习并练习 Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks

Macie

有关 Macie 的更多信息，请查看：

AWS - Macie Enum

Amazon Macie - Bypass Reveal Sample Integrity Check

AWS Macie 是一项安全服务，会自动检测 AWS 环境中的敏感数据，例如凭证、personally identifiable information (PII) 以及其他机密数据。当 Macie 识别到敏感凭证（例如存储在 S3 bucket 中的 AWS secret key）时，会生成一个 finding，允许所有者查看被检测数据的“sample”。通常，一旦敏感文件从 S3 bucket 中移除，预期该 secret 不再可被检索。

然而，已发现一个绕过方法：攻击者在具备足够权限的情况下，可以使用相同的文件名重新上传一个包含不同、非敏感假数据的文件。这会导致 Macie 将新上传的文件与原始 finding 关联，从而允许攻击者使用 “Reveal Sample” feature 来提取之前检测到的 secret。此问题构成重大安全风险，因为原本以为已删除的秘密仍可通过此方法检索。

flow

Steps To Reproduce:

  1. 将一个包含敏感数据（例如 AWS secret key）的文件（例如 test-secret.txt）上传到 S3 bucket。等待 AWS Macie 扫描并生成 finding。

  2. 打开 AWS Macie Findings，找到生成的 finding，并使用 Reveal Sample 功能查看被检测到的 secret。

  3. 从 S3 bucket 中删除 test-secret.txt，并确认该文件不再存在。

  4. 使用 attacker’s account 创建一个名为 test-secret.txt 的新文件，内容为假数据，并重新上传到相同的 S3 bucket。

  5. 返回 AWS Macie Findings，访问原始 finding，然后再次点击 Reveal Sample。

  6. 观察到即便该文件已被删除并由不同内容替换，Macie 仍会显示原始 secret（来自不同账户，在我们的示例中为 attacker’s account）。

Summary:

该漏洞允许具有足够 AWS IAM 权限的攻击者在原始文件从 S3 删除后仍然恢复先前检测到的 secret。如果 AWS secret key、access token 或其他敏感凭证被暴露，攻击者可利用此缺陷检索并获取对 AWS 资源的未授权访问。这可能导致 privilege escalation、未授权的数据访问或进一步的云资产妥协，造成数据泄露和服务中断。

Tip

学习并练习 AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
学习并练习 GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
学习并练习 Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

支持 HackTricks