Chinese - Ht Cloud
HackTricks TrainingTwitterLinkedinSponsor

AWS - EKS Post Exploitation

支持 HackTricks

EKS

有关更多信息，请查看

从 AWS 控制台枚举集群

如果您拥有权限 eks:AccessKubernetesApi，您可以通过 AWS EKS 控制台 查看 Kubernetes 对象 (了解更多)。

连接到 AWS Kubernetes 集群

  • 简单方法：

# Generate kubeconfig
aws eks update-kubeconfig --name aws-eks-dev

  • 不是那么简单的方法：

如果你可以 获取一个令牌，使用 aws eks get-token --name <cluster_name>，但你没有权限获取集群信息（describeCluster），你可以 准备你自己的 ~/.kube/config。然而，拥有令牌后，你仍然需要 连接的 URL 端点（如果你设法从一个 pod 获取了 JWT 令牌，请阅读 这里）和 集群的名称。

在我的案例中，我没有在 CloudWatch 日志中找到信息，但我 在 LaunchTemplates 的 userData 中找到了它，并且在 EC2 机器的 userData 中也找到了。你可以很容易地在 userData 中看到这些信息，例如在下一个示例中（集群名称是 cluster-name）：

API_SERVER_URL=https://6253F6CA47F81264D8E16FAA7A103A0D.gr7.us-east-1.eks.amazonaws.com

/etc/eks/bootstrap.sh cluster-name --kubelet-extra-args '--node-labels=eks.amazonaws.com/sourceLaunchTemplateVersion=1,alpha.eksctl.io/cluster-name=cluster-name,alpha.eksctl.io/nodegroup-name=prd-ondemand-us-west-2b,role=worker,eks.amazonaws.com/nodegroup-image=ami-002539dd2c532d0a5,eks.amazonaws.com/capacityType=ON_DEMAND,eks.amazonaws.com/nodegroup=prd-ondemand-us-west-2b,type=ondemand,eks.amazonaws.com/sourceLaunchTemplateId=lt-0f0f0ba62bef782e5 --max-pods=58' --b64-cluster-ca $B64_CLUSTER_CA --apiserver-endpoint $API_SERVER_URL --dns-cluster-ip $K8S_CLUSTER_DNS_IP --use-max-pods false
kube 配置

```yaml describe-cache-parametersapiVersion: v1 clusters: - cluster: certificate-authority-data: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUMvakNDQWVhZ0F3SUJBZ0lCQURBTkJna3Foa2lHOXcwQkFRc0ZBREFWTVJNd0VRWURWUVFERXdwcmRXSmwKY201bGRHVnpNQjRYRFRJeU1USXlPREUyTWpjek1Wb1hEVE15TVRJeU5URTJNamN6TVZvd0ZURVRNQkVHQTFVRQpBeE1LYTNWaVpYSnVaWFJsY3pDQ0FTSXdEUVlKS29aSWh2Y05BUUVCQlFBRGdnRVBBRENDQVFvQ2dnRUJBTDlXCk9OS0ZqeXZoRUxDZGhMNnFwWkMwa1d0UURSRVF1UzVpRDcwK2pjbjFKWXZ4a3FsV1ZpbmtwOUt5N2x2ME5mUW8KYkNqREFLQWZmMEtlNlFUWVVvOC9jQXJ4K0RzWVlKV3dzcEZGbWlsY1lFWFZHMG5RV1VoMVQ3VWhOanc0MllMRQpkcVpzTGg4OTlzTXRLT1JtVE5sN1V6a05pTlUzSytueTZSRysvVzZmbFNYYnRiT2kwcXJSeFVpcDhMdWl4WGRVCnk4QTg3VjRjbllsMXo2MUt3NllIV3hhSm11eWI5enRtbCtBRHQ5RVhOUXhDMExrdWcxSDBqdTl1MDlkU09YYlkKMHJxY2lINjYvSTh0MjlPZ3JwNkY0dit5eUNJUjZFQURRaktHTFVEWUlVSkZ4WXA0Y1pGcVA1aVJteGJ5Nkh3UwpDSE52TWNJZFZRRUNQMlg5R2c4Q0F3RUFBYU5aTUZjd0RnWURWUjBQQVFIL0JBUURBZ0trTUE4R0ExVWRFd0VCCi93UUZNQU1CQWY4d0hRWURWUjBPQkJZRUZQVXFsekhWZmlDd0xqalhPRmJJUUc3L0VxZ1hNQlVHQTFVZEVRUU8KTUF5Q0NtdDFZbVZ5Ym1WMFpYTXdEUVlKS29aSWh2Y05BUUVMQlFBRGdnRUJBS1o4c0l4aXpsemx0aXRPcGcySgpYV0VUSThoeWxYNWx6cW1mV0dpZkdFVVduUDU3UEVtWW55eWJHbnZ5RlVDbnczTldMRTNrbEVMQVE4d0tLSG8rCnBZdXAzQlNYamdiWFovdWVJc2RhWlNucmVqNU1USlJ3SVFod250ZUtpU0J4MWFRVU01ZGdZc2c4SlpJY3I2WC8KRG5POGlHOGxmMXVxend1dUdHSHM2R1lNR0Mvd1V0czVvcm1GS291SmtSUWhBZElMVkNuaStYNCtmcHUzT21UNwprS3VmR0tyRVlKT09VL1c2YTB3OTRycU9iSS9Mem1GSWxJQnVNcXZWVDBwOGtlcTc1eklpdGNzaUJmYVVidng3Ci9sMGhvS1RqM0IrOGlwbktIWW4wNGZ1R2F2YVJRbEhWcldDVlZ4c3ZyYWpxOUdJNWJUUlJ6TnpTbzFlcTVZNisKRzVBPQotLS0tLUVORCBDRVJUSUZJQ0FURS0tLS0tCg== server: https://6253F6CA47F81264D8E16FAA7A103A0D.gr7.us-west-2.eks.amazonaws.com name: arn:aws:eks:us-east-1::cluster/ contexts: - context: cluster: arn:aws:eks:us-east-1::cluster/ user: arn:aws:eks:us-east-1::cluster/ name: arn:aws:eks:us-east-1::cluster/ current-context: arn:aws:eks:us-east-1::cluster/ kind: Config preferences: {} users: - name: arn:aws:eks:us-east-1::cluster/ user: exec: apiVersion: client.authentication.k8s.io/v1beta1 args: - --region - us-west-2 - --profile - - eks - get-token - --cluster-name - command: aws env: null interactiveMode: IfAvailable provideClusterInfo: false ```

从 AWS 到 Kubernetes

EKS 集群的创建者****总是能够进入**system:masters（k8s 管理员）组的 Kubernetes 集群部分。在撰写本文时，没有直接的方法来查找谁创建了该集群（您可以检查 CloudTrail）。并且无法去移除该权限**。

授予更多 AWS IAM 用户或角色对 K8s 的访问权限的方法是使用configmap aws-auth。

因此，任何对 config map aws-auth具有写访问权限的人都将能够危害整个集群。

有关如何在同一或不同账户中授予 IAM 角色和用户额外权限以及如何滥用此权限的信息，请查看privesc 检查此页面。

还可以查看这篇精彩的 文章以了解 IAM -> Kubernetes 的身份验证是如何工作的。

从 Kubernetes 到 AWS

可以允许Kubernetes 服务账户的 OpenID 身份验证以允许它们在 AWS 中承担角色。了解这在此页面中的工作原理。

从 JWT 令牌获取 Api 服务器端点

https://<cluster-id>.<two-random-chars><number>.<region>.eks.amazonaws.com

没有找到任何文档来解释“两个字符”和“数字”的标准。但我自己进行了一些测试，发现这些是重复出现的：

  • gr7

  • yl4

无论如何，这只是3个字符，我们可以对它们进行暴力破解。使用下面的脚本生成列表。

from itertools import product
from string import ascii_lowercase

letter_combinations = product('abcdefghijklmnopqrstuvwxyz', repeat = 2)
number_combinations = product('0123456789', repeat = 1)

result = [
f'{''.join(comb[0])}{comb[1][0]}'
for comb in product(letter_combinations, number_combinations)
]

with open('out.txt', 'w') as f:
f.write('\n'.join(result))

然后使用 wfuzz

wfuzz -Z -z file,out.txt --hw 0 https://<cluster-id>.FUZZ.<region>.eks.amazonaws.com

记得替换 & .

绕过 CloudTrail

如果攻击者获得了具有 EKS 权限 的 AWS 凭证。如果攻击者配置自己的 kubeconfig（如前所述，不调用 update-kubeconfig），则 get-token 不会在 Cloudtrail 中生成日志，因为它不与 AWS API 交互（它只是本地创建令牌）。

因此，当攻击者与 EKS 集群交互时，cloudtrail 不会记录与被盗用户及其访问相关的任何内容。

请注意，EKS 集群可能启用了日志，将记录此访问（尽管默认情况下，它们是禁用的）。

EKS 勒索？

默认情况下，创建集群的 用户或角色 始终会拥有集群的管理员权限。这是 AWS 对 Kubernetes 集群的唯一“安全”访问。

因此，如果 攻击者通过 fargate 破坏了集群，并 删除了所有其他管理员，并 删除了创建集群的 AWS 用户/角色，攻击者可能已经 勒索了集群。

请注意，如果集群使用 EC2 VMs，则可能从 节点 获取管理员权限并恢复集群。

实际上，如果集群使用 Fargate，您可以将 EC2 节点或将所有内容移动到 EC2 集群并通过访问节点中的令牌来恢复它。

支持 HackTricks
PreviousAWS - EFS Post ExploitationNextAWS - Elastic Beanstalk Post Exploitation

Last updated