AWS - EFS Enum
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Amazon Elastic File System (EFS) se presenta como un sistema de archivos de red completamente gestionado, escalable y elástico por AWS. El servicio facilita la creación y configuración de sistemas de archivos que pueden ser accedidos simultáneamente por múltiples instancias de EC2 y otros servicios de AWS. Las características clave de EFS incluyen su capacidad para escalar automáticamente sin intervención manual, proporcionar acceso de baja latencia, soportar cargas de trabajo de alto rendimiento, garantizar la durabilidad de los datos e integrarse sin problemas con varios mecanismos de seguridad de AWS.
Por defecto, la carpeta de EFS a montar será / pero podría tener un nombre diferente.
Un EFS se crea en una VPC y sería por defecto accesible en todas las subredes de la VPC. Sin embargo, el EFS tendrá un Grupo de Seguridad. Para dar acceso a un EC2 (o cualquier otro servicio de AWS) para montar el EFS, es necesario permitir en el grupo de seguridad de EFS una regla de entrada NFS (puerto 2049) desde el Grupo de Seguridad de EC2.
Sin esto, no podrás contactar el servicio NFS.
Para más información sobre cómo hacer esto, consulta: https://stackoverflow.com/questions/38632222/aws-efs-connection-timeout-at-mount
Puede ser que el punto de montaje de EFS esté dentro de la misma VPC pero en una subred diferente. Si quieres asegurarte de encontrar todos los puntos EFS, sería mejor escanear la máscara de red /16.
Por defecto, cualquier persona con acceso a la red al EFS podrá montarlo, leerlo y escribir en él incluso como usuario root. Sin embargo, las políticas del sistema de archivos podrían estar en vigor solo permitiendo a los principales con permisos específicos acceder a él. Por ejemplo, esta política del sistema de archivos no permitirá ni siquiera montar el sistema de archivos si no tienes el permiso IAM:
O esto prevendrá el acceso anónimo:
Tenga en cuenta que para montar sistemas de archivos protegidos por IAM DEBE usar el tipo "efs" en el comando de montaje:
Los puntos de acceso son puntos de entrada específicos de aplicación a un sistema de archivos EFS que facilitan la gestión del acceso de la aplicación a conjuntos de datos compartidos.
Cuando creas un punto de acceso, puedes especificar el propietario y los permisos POSIX para los archivos y directorios creados a través del punto de acceso. También puedes definir un directorio raíz personalizado para el punto de acceso, ya sea especificando un directorio existente o creando uno nuevo con los permisos deseados. Esto te permite controlar el acceso a tu sistema de archivos EFS de manera específica por aplicación o por usuario, facilitando la gestión y seguridad de tus datos de archivos compartidos.
Puedes montar el sistema de archivos desde un punto de acceso con algo como:
Tenga en cuenta que incluso al intentar montar un punto de acceso, aún necesita poder contactar el servicio NFS a través de la red, y si el EFS tiene una política de sistema de archivos, necesita suficientes permisos IAM para montarlo.
Los puntos de acceso se pueden utilizar para los siguientes propósitos:
Simplificar la gestión de permisos: Al definir un usuario y grupo POSIX para cada punto de acceso, puede gestionar fácilmente los permisos de acceso para diferentes aplicaciones o usuarios sin modificar los permisos del sistema de archivos subyacente.
Hacer cumplir un directorio raíz: Los puntos de acceso pueden restringir el acceso a un directorio específico dentro del sistema de archivos EFS, asegurando que cada aplicación o usuario opere dentro de su carpeta designada. Esto ayuda a prevenir la exposición accidental de datos o modificaciones.
Acceso más fácil al sistema de archivos: Los puntos de acceso se pueden asociar con una función de AWS Lambda o una tarea de AWS Fargate, simplificando el acceso al sistema de archivos para aplicaciones sin servidor y en contenedores.
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)
