AWS - EC2, EBS, ELB, SSM, VPC & VPN Enum

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!

• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.

• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.

VPC & Δικτύωση

Μάθετε τι είναι ένα VPC και για τα συστατικά του σε:

AWS - VPC & Networking Basic Information

EC2

Το Amazon EC2 χρησιμοποιείται για την εκκίνηση εικονικών διακομιστών. Επιτρέπει τη διαμόρφωση ασφάλειας και δικτύωσης και τη διαχείριση αποθήκευσης. Η ευελιξία του Amazon EC2 είναι προφανής στην ικανότητά του να κλιμακώνει τους πόρους προς τα πάνω και προς τα κάτω, προσαρμόζοντας αποτελεσματικά τις μεταβαλλόμενες απαιτήσεις ή τις αυξήσεις δημοτικότητας. Αυτή η δυνατότητα μειώνει την ανάγκη για ακριβείς προβλέψεις κυκλοφορίας.

Ενδιαφέροντα πράγματα για να καταγράψετε στο EC2:

• Εικονικές Μηχανές

• Κλειδιά SSH

• Δεδομένα Χρήστη

• Υπάρχοντα EC2s/AMIs/Στιγμιότυπα

• Δικτύωση

• Δίκτυα

• Υποδίκτυα

• Δημόσιες IPs

• Ανοιχτές θύρες

• Ενσωματωμένες συνδέσεις με άλλα δίκτυα εκτός AWS

Προφίλ Εγκατάστασης

Η χρήση ρόλων για την παροχή δικαιωμάτων σε εφαρμογές που εκτελούνται σε εγκαταστάσεις EC2 απαιτεί λίγη επιπλέον διαμόρφωση. Μια εφαρμογή που εκτελείται σε μια εγκατάσταση EC2 είναι απομονωμένη από το AWS μέσω του εικονικοποιημένου λειτουργικού συστήματος. Λόγω αυτής της επιπλέον απομόνωσης, χρειάζεστε ένα επιπλέον βήμα για να αναθέσετε έναν ρόλο AWS και τα σχετικά δικαιώματα σε μια εγκατάσταση EC2 και να τα κάνετε διαθέσιμα στις εφαρμογές της.

Αυτό το επιπλέον βήμα είναι η δημιουργία ενός προφίλ εγκατάστασης που συνδέεται με την εγκατάσταση. Το προφίλ εγκατάστασης περιέχει τον ρόλο και μπορεί να παρέχει τα προσωρινά διαπιστευτήρια του ρόλου σε μια εφαρμογή που εκτελείται στην εγκατάσταση. Αυτά τα προσωρινά διαπιστευτήρια μπορούν στη συνέχεια να χρησιμοποιηθούν στις κλήσεις API της εφαρμογής για την πρόσβαση σε πόρους και για τον περιορισμό της πρόσβασης μόνο στους πόρους που καθορίζει ο ρόλος. Σημειώστε ότι μόνο ένας ρόλος μπορεί να ανατεθεί σε μια εγκατάσταση EC2 τη φορά, και όλες οι εφαρμογές στην εγκατάσταση μοιράζονται τον ίδιο ρόλο και δικαιώματα.

Τερματικό Μεταδεδομένων

Τα μεταδεδομένα AWS EC2 είναι πληροφορίες σχετικά με μια εγκατάσταση Amazon Elastic Compute Cloud (EC2) που είναι διαθέσιμες στην εγκατάσταση κατά την εκτέλεση. Αυτά τα μεταδεδομένα χρησιμοποιούνται για την παροχή πληροφοριών σχετικά με την εγκατάσταση, όπως το ID της εγκατάστασης, η ζώνη διαθεσιμότητας στην οποία εκτελείται, ο ρόλος IAM που σχετίζεται με την εγκατάσταση και το όνομα υπολογιστή της εγκατάστασης.

Cloud SSRFHackTricks

Καταγραφή

# Get EC2 instances
aws ec2 describe-instances
aws ec2 describe-instance-status #Get status from running instances

# Get user data from each ec2 instance
for instanceid in $(aws ec2 describe-instances --profile <profile> --region us-west-2 | grep -Eo '"i-[a-zA-Z0-9]+' | tr -d '"'); do
echo "Instance ID: $instanceid"
aws ec2 describe-instance-attribute --profile <profile> --region us-west-2 --instance-id "$instanceid" --attribute userData | jq ".UserData.Value" | tr -d '"' | base64 -d
echo ""
echo "-------------------"
done

# Instance profiles
aws iam list-instance-profiles
aws iam list-instance-profiles-for-role --role-name <name>

# Get tags
aws ec2 describe-tags

# Get volumes
aws ec2 describe-volume-status
aws ec2 describe-volumes

# Get snapshots
aws ec2 describe-snapshots --owner-ids self

# Scheduled instances
aws ec2 describe-scheduled-instances

# Get custom images
aws ec2 describe-images --owners self

# Get Elastic IPs
aws ec2 describe-addresses

# Get current output
aws ec2 get-console-output --instance-id [id]

# Get VPN customer gateways
aws ec2 describe-customer-gateways
aws ec2 describe-vpn-gateways
aws ec2 describe-vpn-connections

# List conversion tasks to upload/download VMs
aws ec2 describe-conversion-tasks
aws ec2 describe-import-image-tasks

# Get Bundle Tasks
aws ec2 describe-bundle-tasks

# Get Classic Instances
aws ec2 describe-classic-link-instances

# Get Dedicated Hosts
aws ec2 describe-hosts

# Get SSH Key Pairs
aws ec2 describe-key-pairs

# Get Internet Gateways
aws ec2 describe-internet-gateways

# Get NAT Gateways
aws ec2 describe-nat-gateways

# Get subnetworks
aws ec2 describe-subnets

# Get FW rules
aws ec2 describe-network-acls

# Get security groups
aws ec2 describe-security-groups

# Get interfaces
aws ec2 describe-network-interfaces

# Get routes table
aws ec2 describe-route-tables

# Get VPCs
aws ec2 describe-vpcs
aws ec2 describe-vpc-peering-connections

Μη Αυθεντική Πρόσβαση

AWS - EC2 Unauthenticated Enum

Privilege Escalation

Στην επόμενη σελίδα μπορείτε να δείτε πώς να καταχραστείτε τις άδειες EC2 για να κερδίσετε δικαιώματα:

AWS - EC2 Privesc

Μετά την Εκμετάλλευση

AWS - EC2, EBS, SSM & VPC Post Exploitation

EBS

Η EBS (Elastic Block Store) της Amazon snapshots είναι βασικά στατικά αντίγραφα ασφαλείας των όγκων EBS της AWS. Με άλλα λόγια, είναι αντίγραφα των δίσκων που είναι συνδεδεμένοι σε μια EC2 Εγκατάσταση σε μια συγκεκριμένη χρονική στιγμή. Τα EBS snapshots μπορούν να αντιγραφούν σε περιοχές και λογαριασμούς, ή ακόμα και να κατεβούν και να τρέξουν τοπικά.

Τα snapshots μπορεί να περιέχουν ευαίσθητες πληροφορίες όπως κώδικα πηγής ή κλειδιά API, επομένως, αν έχετε την ευκαιρία, συνιστάται να το ελέγξετε.

Διαφορά AMI & EBS

Ένα AMI χρησιμοποιείται για να εκκινήσει μια EC2 εγκατάσταση, ενώ ένα EC2 Snapshot χρησιμοποιείται για να δημιουργήσει αντίγραφα ασφαλείας και να ανακτήσει δεδομένα που είναι αποθηκευμένα σε έναν όγκο EBS. Ενώ ένα EC2 Snapshot μπορεί να χρησιμοποιηθεί για να δημιουργήσει ένα νέο AMI, δεν είναι το ίδιο πράγμα με ένα AMI, και δεν περιλαμβάνει πληροφορίες σχετικά με το λειτουργικό σύστημα, τον διακομιστή εφαρμογών ή άλλο λογισμικό που απαιτείται για να τρέξει μια εφαρμογή.

Privilege Escalation

Στην επόμενη σελίδα μπορείτε να δείτε πώς να καταχραστείτε τις άδειες EBS για να κερδίσετε δικαιώματα:

AWS - EBS Privesc

SSM

Ο Amazon Simple Systems Manager (SSM) επιτρέπει την απομακρυσμένη διαχείριση των EC2 εγκαταστάσεων για να διευκολύνει πολύ τη διαχείρισή τους. Κάθε μία από αυτές τις εγκαταστάσεις πρέπει να εκτελεί την υπηρεσία SSM Agent καθώς αυτή θα είναι υπεύθυνη για την εκτέλεση των ενεργειών από το AWS API.

Ο SSM Agent καθιστά δυνατή την ενημέρωση, διαχείριση και ρύθμιση αυτών των πόρων από τον Systems Manager. Ο πράκτορας επεξεργάζεται αιτήματα από την υπηρεσία Systems Manager στο AWS Cloud, και στη συνέχεια τα εκτελεί όπως καθορίζεται στο αίτημα.

Ο SSM Agent έρχεται προεγκατεστημένος σε ορισμένα AMIs ή πρέπει να τον εγκαταστήσετε χειροκίνητα στις εγκαταστάσεις. Επίσης, ο IAM Ρόλος που χρησιμοποιείται μέσα στην εγκατάσταση πρέπει να έχει την πολιτική AmazonEC2RoleforSSM συνημμένη για να μπορεί να επικοινωνεί.

Αριθμητική

aws ssm describe-instance-information
aws ssm describe-parameters
aws ssm describe-sessions --state [Active|History]
aws ssm describe-instance-patches --instance-id <id>
aws ssm describe-instance-patch-states --instance-ids <id>
aws ssm describe-instance-associations-status --instance-id <id>

Μπορείτε να ελέγξετε σε μια EC2 instance αν το Systems Manager εκτελείται απλά εκτελώντας:

ps aux | grep amazon-ssm

Privesc

Στην επόμενη σελίδα μπορείτε να ελέγξετε πώς να καταχραστείτε τις άδειες SSM για να κλιμακώσετε τα δικαιώματα:

AWS - SSM Privesc

ELB

Elastic Load Balancing (ELB) είναι μια υπηρεσία ισορροπίας φορτίου για τις Υπηρεσίες Ιστού της Amazon (AWS). Το ELB αυτόματα κατανέμει την εισερχόμενη κίνηση εφαρμογών και κλιμακώνει τους πόρους για να καλύψει τις απαιτήσεις κίνησης.

Enumeration

# List internet-facing ELBs
aws elb describe-load-balancers
aws elb describe-load-balancers | jq '.LoadBalancerDescriptions[]| select( .Scheme | contains("internet-facing"))|.DNSName'

# DONT FORGET TO CHECK VERSION 2
aws elbv2 describe-load-balancers
aws elbv2 describe-load-balancers | jq '.LoadBalancers[].DNSName'
aws elbv2 describe-listeners --load-balancer-arn <load_balancer_arn>

Πρότυπα Εκκίνησης & Ομάδες Αυτόματης Κλιμάκωσης

Απαρίθμηση

# Launch templates
aws ec2 describe-launch-templates
aws ec2 describe-launch-templates --launch-template-id <launch_template_id>
## Get details, like user data
aws ec2 describe-launch-template-versions --launch-template-id <launch_template_id>

# Autoscaling
aws autoscaling describe-auto-scaling-groups
aws autoscaling describe-auto-scaling-instances
aws autoscaling describe-launch-configurations
aws autoscaling describe-load-balancer-target-groups
aws autoscaling describe-load-balancers

Nitro

AWS Nitro είναι μια σουίτα από καινοτόμες τεχνολογίες που αποτελούν την υποκείμενη πλατφόρμα για τις EC2 περιπτώσεις AWS. Εισήχθη από την Amazon για να βελτιώσει την ασφάλεια, την απόδοση και την αξιοπιστία, το Nitro εκμεταλλεύεται προσαρμοσμένα hardware components και έναν ελαφρύ hypervisor. Απομονώνει πολλές από τις παραδοσιακές λειτουργίες εικονικοποίησης σε ειδικό hardware και software, ελαχιστοποιώντας την επιφάνεια επίθεσης και βελτιώνοντας την αποδοτικότητα πόρων. Με την εκφόρτωση των λειτουργιών εικονικοποίησης, το Nitro επιτρέπει στις EC2 περιπτώσεις να παρέχουν σχεδόν bare-metal απόδοση, καθιστώντας το ιδιαίτερα ωφέλιμο για εφαρμογές που απαιτούν πολλούς πόρους. Επιπλέον, το Nitro Security Chip διασφαλίζει ειδικά την ασφάλεια του hardware και του firmware, ενισχύοντας περαιτέρω την ανθεκτική του αρχιτεκτονική.

Get more information and how to enumerate it from:

AWS - Nitro Enum

VPN

Ένα VPN επιτρέπει τη σύνδεση του on-premise network (site-to-site VPN) ή των laptops των εργαζομένων (Client VPN) με ένα AWS VPC ώστε οι υπηρεσίες να είναι προσβάσιμες χωρίς να χρειάζεται να τις εκθέσετε στο διαδίκτυο.

Basic AWS VPN Components

1. Customer Gateway:

• Ένα Customer Gateway είναι ένας πόρος που δημιουργείτε στο AWS για να αντιπροσωπεύει την πλευρά σας σε μια σύνδεση VPN.

• Είναι ουσιαστικά μια φυσική συσκευή ή εφαρμογή λογισμικού στην πλευρά σας της σύνδεσης Site-to-Site VPN.

• Παρέχετε πληροφορίες δρομολόγησης και τη δημόσια IP διεύθυνση της συσκευής δικτύου σας (όπως ένας δρομολογητής ή ένα firewall) στο AWS για να δημιουργήσετε ένα Customer Gateway.

• Λειτουργεί ως σημείο αναφοράς για τη ρύθμιση της σύνδεσης VPN και δεν επιβαρύνει με επιπλέον χρεώσεις.

1. Virtual Private Gateway:

• Ένα Virtual Private Gateway (VPG) είναι ο συγκεντρωτής VPN στην πλευρά της Amazon της σύνδεσης Site-to-Site VPN.

• Είναι συνδεδεμένο με το VPC σας και λειτουργεί ως ο στόχος για τη σύνδεση VPN σας.

• Το VPG είναι το σημείο τερματισμού της AWS για τη σύνδεση VPN.

• Διαχειρίζεται την ασφαλή επικοινωνία μεταξύ του VPC σας και του on-premises δικτύου σας.

1. Site-to-Site VPN Connection:

• Μια σύνδεση Site-to-Site VPN συνδέει το on-premises δίκτυό σας με ένα VPC μέσω ενός ασφαλούς, IPsec VPN τούνελ.

• Αυτός ο τύπος σύνδεσης απαιτεί ένα Customer Gateway και ένα Virtual Private Gateway.

• Χρησιμοποιείται για ασφαλή, σταθερή και συνεπή επικοινωνία μεταξύ του κέντρου δεδομένων ή του δικτύου σας και του περιβάλλοντος AWS.

• Συνήθως χρησιμοποιείται για κανονικές, μακροχρόνιες συνδέσεις και χρεώνεται με βάση την ποσότητα δεδομένων που μεταφέρονται μέσω της σύνδεσης.

1. Client VPN Endpoint:

• Ένα Client VPN endpoint είναι ένας πόρος που δημιουργείτε στο AWS για να ενεργοποιήσετε και να διαχειριστείτε τις συνεδρίες client VPN.

• Χρησιμοποιείται για να επιτρέπει σε μεμονωμένες συσκευές (όπως laptops, smartphones, κ.λπ.) να συνδέονται με ασφάλεια σε πόρους AWS ή στο on-premises δίκτυό σας.

• Διαφέρει από το Site-to-Site VPN στο ότι έχει σχεδιαστεί για μεμονωμένους πελάτες αντί να συνδέει ολόκληρα δίκτυα.

• Με το Client VPN, κάθε συσκευή πελάτη χρησιμοποιεί ένα λογισμικό client VPN για να δημιουργήσει μια ασφαλή σύνδεση.

You can find more information about the benefits and components of AWS VPNs here.

Enumeration

# VPN endpoints
## Check used subnetwork, authentication, SGs, connected...
aws ec2 describe-client-vpn-endpoints

## Get AWS network info related to the vpn endpoint
aws ec2 describe-client-vpn-target-networks --client-vpn-endpoint-id <id>

## Get AWS subnet & ip range the VPN iconnected to
aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id <id>

## Check authorization rules
aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id <id>

## Get current connections to the VPN endpoint
aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id <id>

# Get VPN gateways and check with which VPC each is connected
aws ec2 describe-vpn-gateways

# Get VPN site-to-site connections
aws ec2 describe-vpn-connections

Τοπική Αρίθμηση

Τοπικά Προσωρινά Διαπιστευτήρια

Όταν χρησιμοποιείται ο πελάτης AWS VPN για να συνδεθεί σε ένα VPN, ο χρήστης συνήθως συνδέεται στο AWS για να αποκτήσει πρόσβαση στο VPN. Στη συνέχεια, κάποια διαπιστευτήρια AWS δημιουργούνται και αποθηκεύονται τοπικά για να καθοριστεί η σύνδεση VPN. Αυτά τα διαπιστευτήρια αποθηκεύονται στο $HOME/.config/AWSVPNClient/TemporaryCredentials/<region>/temporary-credentials.txt και περιέχουν ένα AccessKey, ένα SecretKey και ένα Token.

Τα διαπιστευτήρια ανήκουν στον χρήστη arn:aws:sts::<acc-id>:assumed-role/aws-vpn-client-metrics-analytics-access-role/CognitoIdentityCredentials (TODO: ερευνήστε περισσότερα σχετικά με τις άδειες αυτών των διαπιστευτηρίων).

αρχεία ρυθμίσεων opvn

Εάν η σύνδεση VPN έχει καθοριστεί, θα πρέπει να αναζητήσετε αρχεία ρυθμίσεων .opvn στο σύστημα. Επιπλέον, ένα μέρος όπου θα μπορούσατε να βρείτε τις ρυθμίσεις είναι στο $HOME/.config/AWSVPNClient/OpenVpnConfigs

Μετά την Εκμετάλλευση

AWS - VPN Post Exploitation

Αναφορές

• https://docs.aws.amazon.com/batch/latest/userguide/getting-started-ec2.html

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!

• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.

• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.