AWS - EBS Snapshot Dump
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
नोट कि dsnap आपको सार्वजनिक स्नैपशॉट डाउनलोड करने की अनुमति नहीं देगा। इससे बचने के लिए, आप स्नैपशॉट की एक प्रति अपने व्यक्तिगत खाते में बना सकते हैं, और उसे डाउनलोड कर सकते हैं:
इस तकनीक के बारे में अधिक जानकारी के लिए मूल शोध देखें https://rhinosecuritylabs.com/aws/exploring-aws-ebs-snapshots/
आप इसे Pacu के साथ ebs__download_snapshots मॉड्यूल का उपयोग करके कर सकते हैं
इसे आपके नियंत्रण में एक EC2 VM में माउंट करें (यह बैकअप की कॉपी के समान क्षेत्र में होना चाहिए):
चरण 1: EC2 –> वॉल्यूम पर जाकर आपके पसंद के आकार और प्रकार का एक नया वॉल्यूम बनाया जाना है।
इस क्रिया को करने के लिए, इन कमांड का पालन करें:
EC2 इंस्टेंस से जोड़ने के लिए एक EBS वॉल्यूम बनाएं।
सुनिश्चित करें कि EBS वॉल्यूम और इंस्टेंस एक ही जोन में हैं।
चरण 2: बनाए गए वॉल्यूम पर राइट-क्लिक करके "जोड़ें वॉल्यूम" विकल्प का चयन किया जाना है।
चरण 3: इंस्टेंस टेक्स्ट बॉक्स से इंस्टेंस का चयन किया जाना है।
इस क्रिया को करने के लिए, निम्नलिखित कमांड का उपयोग करें:
EBS वॉल्यूम को जोड़ें।
चरण 4: EC2 इंस्टेंस में लॉगिन करें और कमांड lsblk का उपयोग करके उपलब्ध डिस्क की सूची बनाएं।
चरण 5: कमांड sudo file -s /dev/xvdf का उपयोग करके जांचें कि वॉल्यूम में कोई डेटा है या नहीं।
यदि उपरोक्त कमांड का आउटपुट "/dev/xvdf: data" दिखाता है, तो इसका मतलब है कि वॉल्यूम खाली है।
चरण 6: कमांड sudo mkfs -t ext4 /dev/xvdf का उपयोग करके वॉल्यूम को ext4 फाइल सिस्टम में फॉर्मेट करें। वैकल्पिक रूप से, आप कमांड sudo mkfs -t xfs /dev/xvdf का उपयोग करके xfs फॉर्मेट भी कर सकते हैं। कृपया ध्यान दें कि आपको या तो ext4 या xfs का उपयोग करना चाहिए।
चरण 7: नए ext4 वॉल्यूम को माउंट करने के लिए अपनी पसंद का एक डायरेक्टरी बनाएं। उदाहरण के लिए, आप "newvolume" नाम का उपयोग कर सकते हैं।
इस क्रिया को करने के लिए, कमांड sudo mkdir /newvolume का उपयोग करें।
चरण 8: कमांड sudo mount /dev/xvdf /newvolume/ का उपयोग करके वॉल्यूम को "newvolume" डायरेक्टरी में माउंट करें।
चरण 9: "newvolume" डायरेक्टरी में डायरेक्टरी बदलें और वॉल्यूम माउंट को मान्य करने के लिए डिस्क स्पेस की जांच करें।
इस क्रिया को करने के लिए, निम्नलिखित कमांड का उपयोग करें:
/newvolume में डायरेक्टरी बदलें।
कमांड df -h . का उपयोग करके डिस्क स्पेस की जांच करें। इस कमांड का आउटपुट "newvolume" डायरेक्टरी में फ्री स्पेस दिखाना चाहिए।
आप इसे Pacu के साथ ebs__explore_snapshots मॉड्यूल का उपयोग करके कर सकते हैं।
कोई भी AWS उपयोगकर्ता जिसके पास EC2:CreateSnapshot अनुमति है, वह डोमेन कंट्रोलर का स्नैपशॉट बनाकर सभी डोमेन उपयोगकर्ताओं के हैश चुरा सकता है, इसे एक ऐसे इंस्टेंस पर माउंट करके जिसे वह नियंत्रित करता है और NTDS.dit और SYSTEM रजिस्ट्री हाइव फ़ाइल को Impacket के secretsdump प्रोजेक्ट के लिए निर्यात कर सकता है।
आप इस हमले को स्वचालित करने के लिए इस उपकरण का उपयोग कर सकते हैं: https://github.com/Static-Flow/CloudCopy या आप स्नैपशॉट बनाने के बाद पिछले तकनीकों में से किसी एक का उपयोग कर सकते हैं।
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
