AWS - KMS Post Exploitation
Last updated
Last updated
AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE) GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE)
자세한 정보는 다음을 확인하세요:
fileb://
및 file://
는 AWS CLI 명령에서 로컬 파일의 경로를 지정하는 데 사용되는 URI 스킴입니다:
fileb://:
이진 모드로 파일을 읽습니다. 일반적으로 비텍스트 파일에 사용됩니다.
file://:
텍스트 모드로 파일을 읽습니다. 일반적으로 특별한 인코딩 요구 사항이 없는 일반 텍스트 파일, 스크립트 또는 JSON에 사용됩니다.
파일 내의 데이터를 복호화하려면 파일이 base64로 인코딩된 데이터가 아닌 이진 데이터를 포함해야 합니다. (fileb://)
대칭 키 사용
비대칭 키 사용:
KMS에 대한 권한이 있는 공격자는 키의 KMS 정책을 수정하고 자신의 계정에 대한 액세스를 부여하여 정당한 계정에 부여된 액세스를 제거할 수 있습니다.
그런 다음, 정당한 계정 사용자는 해당 키로 암호화된 서비스의 정보에 접근할 수 없게 되어, 계정에 대한 쉽지만 효과적인 랜섬웨어를 생성하게 됩니다.
AWS 관리 키는 이 공격의 영향을 받지 않습니다, 오직 고객 관리 키만 영향을 받습니다.
또한 --bypass-policy-lockout-safety-check
매개변수를 사용해야 한다는 점에 유의하십시오(웹 콘솔에서 이 옵션이 없으면 이 공격은 CLI에서만 가능합니다).
정책을 변경하고 외부 계정에만 액세스를 부여한 후, 이 외부 계정에서 원래 계정에 대한 액세스를 다시 부여하는 새로운 정책을 설정하려고 하면, 할 수 없습니다.
글로벌 KMS 랜섬웨어를 수행하는 또 다른 방법이 있으며, 다음 단계를 포함합니다:
공격자가 가져온 키 자료로 새로운 키를 생성합니다
이전 버전으로 암호화된 오래된 데이터를 새로운 키로 재암호화합니다.
KMS 키를 삭제합니다
이제 원래 키 자료를 가진 공격자만 암호화된 데이터를 복호화할 수 있습니다.
AWS는 이제 이전 작업이 교차 계정에서 수행되는 것을 방지합니다:
AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE) GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE)