AWS - SQS Privesc

Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie HackTricks

• Sprawdź plany subskrypcyjne!

• Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Dziel się trikami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów github.

SQS

Aby uzyskać więcej informacji, sprawdź:

AWS - SQS Enum

sqs:AddPermission

Atakujący mógłby wykorzystać tę uprawnienie do przyznania nieautoryzowanym użytkownikom lub usługom dostępu do kolejki SQS, tworząc nowe polityki lub modyfikując istniejące polityki. Może to prowadzić do nieautoryzowanego dostępu do wiadomości w kolejce lub manipulacji kolejką przez nieautoryzowane podmioty.

cssCopy codeaws sqs add-permission --queue-url <value> --actions <value> --aws-account-ids <value> --label <value>

Potencjalny wpływ: Nieautoryzowany dostęp do kolejki, ujawnienie wiadomości lub manipulacja kolejką przez nieautoryzowanych użytkowników lub usługi.

sqs:SendMessage , sqs:SendMessageBatch

Napastnik mógłby wysłać złośliwe lub niechciane wiadomości do kolejki SQS, co potencjalnie mogłoby prowadzić do uszkodzenia danych, wywołania niezamierzonych działań lub wyczerpania zasobów.

aws sqs send-message --queue-url <value> --message-body <value>
aws sqs send-message-batch --queue-url <value> --entries <value>

Potencjalny wpływ: Wykorzystanie luk, Uszkodzenie danych, niezamierzone działania lub wyczerpanie zasobów.

sqs:ReceiveMessage, sqs:DeleteMessage, sqs:ChangeMessageVisibility

Napastnik mógłby odbierać, usuwać lub modyfikować widoczność wiadomości w kolejce SQS, co prowadziłoby do utraty wiadomości, uszkodzenia danych lub zakłócenia działania aplikacji polegających na tych wiadomościach.

aws sqs receive-message --queue-url <value>
aws sqs delete-message --queue-url <value> --receipt-handle <value>
aws sqs change-message-visibility --queue-url <value> --receipt-handle <value> --visibility-timeout <value>

Potencjalny wpływ: Kradzież wrażliwych informacji, utrata wiadomości, uszkodzenie danych oraz zakłócenie działania aplikacji polegających na dotkniętych wiadomościach.

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie HackTricks

• Sprawdź plany subskrypcyjne!

• Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Podziel się sztuczkami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na githubie.