AWS - EC2 Persistence
EC2
有关更多信息，请查看：
安全组连接跟踪持久性
如果防御者发现 EC2 实例被攻陷，他可能会尝试 隔离 该机器的 网络。他可以通过显式的 拒绝 NACL 来做到这一点（但 NACL 会影响整个子网），或者 更改安全组，不允许 任何类型的入站或出站 流量。
如果攻击者有一个 来自该机器的反向 shell，即使安全组被修改为不允许入站或出站流量，连接也不会被终止，因为 安全组连接跟踪。
EC2 生命周期管理器
该服务允许 调度 AMI 和快照的创建，甚至 与其他账户共享。 攻击者可以配置 每周生成所有镜像或所有卷的 AMI 或快照，并 与他的账户共享。
定时实例
可以调度实例每天、每周甚至每月运行。攻击者可以运行一台具有高权限或有趣访问权限的机器。
Spot Fleet 请求
Spot 实例比常规实例 便宜。攻击者可以发起一个 为期 5 年的小型 Spot Fleet 请求（例如），并 自动分配 IP，以及一个 用户数据，在 Spot 实例启动时 发送给攻击者 IP 地址 和 高权限 IAM 角色。
后门实例
攻击者可以访问实例并对其进行后门操作：
使用传统的 rootkit 例如
添加一个新的 公共 SSH 密钥（查看 EC2 权限提升选项）
对 用户数据 进行后门操作
后门启动配置
对使用的 AMI 进行后门操作
对用户数据进行后门操作
对密钥对进行后门操作
VPN
创建一个 VPN，以便攻击者能够直接通过它连接到 VPC。
VPC 对等连接
在受害者 VPC 和攻击者 VPC 之间创建对等连接，以便他能够访问受害者 VPC。
Last updated
