AWS - Secrets Manager Persistence

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Secrets Manager

अधिक जानकारी के लिए देखें:

AWS - Secrets Manager Enum

Via Resource Policies

यह संभव है कि बाहरी खातों को रहस्यों तक पहुँच प्रदान करें संसाधन नीतियों के माध्यम से। अधिक जानकारी के लिए Secrets Manager Privesc पृष्ठ देखें। ध्यान दें कि एक रहस्य तक पहुँचने के लिए, बाहरी खाते को रहस्य को एन्क्रिप्ट करने वाले KMS कुंजी तक भी पहुँच की आवश्यकता होगी।

Via Secrets Rotate Lambda

रहस्यों को स्वचालित रूप से घुमाने के लिए एक कॉन्फ़िगर किया गया Lambda कॉल किया जाता है। यदि एक हमलावर कोड को बदल सकता है, तो वह सीधे नए रहस्य को अपने लिए बाहर निकाल सकता है।

यहाँ इस प्रकार की कार्रवाई के लिए लैम्ब्डा कोड कैसा दिख सकता है:

import boto3

def rotate_secrets(event, context):
# Create a Secrets Manager client
client = boto3.client('secretsmanager')

# Retrieve the current secret value
secret_value = client.get_secret_value(SecretId='example_secret_id')['SecretString']

# Rotate the secret by updating its value
new_secret_value = rotate_secret(secret_value)
client.update_secret(SecretId='example_secret_id', SecretString=new_secret_value)

def rotate_secret(secret_value):
# Perform the rotation logic here, e.g., generate a new password

# Example: Generate a new password
new_secret_value = generate_password()

return new_secret_value

def generate_password():
# Example: Generate a random password using the secrets module
import secrets
import string
password = ''.join(secrets.choice(string.ascii_letters + string.digits) for i in range(16))
return password

AWS हैकिंग सीखें और अभ्यास करें:HackTricks Training AWS Red Team Expert (ARTE) GCP हैकिंग सीखें और अभ्यास करें: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks का समर्थन करें

• सदस्यता योजनाएँ देखें!

• हमारे 💬 Discord समूह या telegram समूह में शामिल हों या हमारे Twitter 🐦 @hacktricks_live** का पालन करें।**

• हैकिंग ट्रिक्स साझा करें और HackTricks और HackTricks Cloud गिटहब रिपोजिटरी में PRs सबमिट करें।