AWS - EBS Snapshot Dump
Last updated
Last updated
AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE)
注意 dsnap は公開スナップショットのダウンロードを許可しません。これを回避するには、スナップショットを自分のアカウントにコピーし、それをダウンロードできます：
この技術に関する詳細は、https://rhinosecuritylabs.com/aws/exploring-aws-ebs-snapshots/の元の研究を確認してください。
Pacuを使用して、モジュールebs__download_snapshotsでこれを行うことができます。
制御下のEC2 VMにマウントする（バックアップのコピーと同じリージョンにある必要があります）：
ステップ1：EC2 –> ボリュームに移動して、好みのサイズとタイプの新しいボリュームを作成します。
このアクションを実行するには、次のコマンドに従ってください：
EC2インスタンスにアタッチするEBSボリュームを作成します。
EBSボリュームとインスタンスが同じゾーンにあることを確認します。
ステップ2：作成したボリュームを右クリックして「ボリュームをアタッチ」オプションを選択します。
ステップ3：インスタンステキストボックスからインスタンスを選択します。
このアクションを実行するには、次のコマンドを使用します：
EBSボリュームをアタッチします。
ステップ4：EC2インスタンスにログインし、コマンドlsblkを使用して利用可能なディスクをリストします。
ステップ5：コマンドsudo file -s /dev/xvdfを使用して、ボリュームにデータがあるかどうかを確認します。
上記のコマンドの出力が「/dev/xvdf: data」と表示される場合、ボリュームは空です。
ステップ6：コマンドsudo mkfs -t ext4 /dev/xvdfを使用して、ボリュームをext4ファイルシステムにフォーマットします。代わりに、コマンドsudo mkfs -t xfs /dev/xvdfを使用してxfsフォーマットを使用することもできます。ext4またはxfsのいずれかを使用する必要があることに注意してください。
ステップ7：新しいext4ボリュームをマウントするための任意のディレクトリを作成します。たとえば、「newvolume」という名前を使用できます。
このアクションを実行するには、コマンドsudo mkdir /newvolumeを使用します。
ステップ8：コマンドsudo mount /dev/xvdf /newvolume/を使用して、ボリュームを「newvolume」ディレクトリにマウントします。
ステップ9：「newvolume」ディレクトリに移動し、ボリュームマウントを検証するためにディスクスペースを確認します。
このアクションを実行するには、次のコマンドを使用します：
ディレクトリを/newvolumeに変更します。
コマンドdf -h .を使用してディスクスペースを確認します。このコマンドの出力は、「newvolume」ディレクトリの空きスペースを表示する必要があります。
これをPacuを使用して、モジュールebs__explore_snapshotsで行うことができます。
EC2:CreateSnapshot 権限を持つAWSユーザーは、ドメインコントローラーのスナップショットを作成し、それを自分が制御するインスタンスにマウントして、NTDS.ditおよびSYSTEMレジストリハイブファイルをImpacketのsecretsdumpプロジェクトで使用するためにエクスポートすることによって、すべてのドメインユーザーのハッシュを盗むことができます。
このツールを使用して攻撃を自動化できます: https://github.com/Static-Flow/CloudCopy またはスナップショットを作成した後に以前の技術の1つを使用することもできます。
AWSハッキングを学び、実践する:HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、実践する: HackTricks Training GCP Red Team Expert (GRTE)
