AWS - EBS Snapshot Dump
Перевірка знімка локально
Зверніть увагу, що dsnap
не дозволить вам завантажити публічні знімки. Щоб обійти це, ви можете зробити копію знімка у своєму особистому акаунті та завантажити його:
Для отримання додаткової інформації про цю техніку перегляньте оригінальне дослідження в https://rhinosecuritylabs.com/aws/exploring-aws-ebs-snapshots/
Ви можете зробити це з Pacu, використовуючи модуль ebs__download_snapshots
Перевірка знімка в AWS
Підключіть його до EC2 VM під вашим контролем (він має бути в тому ж регіоні, що й копія резервної копії):
Крок 1: Необхідно створити новий об'єм вашого вибраного розміру та типу, перейшовши до EC2 –> Об'єми.
Щоб виконати цю дію, виконайте такі команди:
Створіть об'єм EBS для підключення до EC2 екземпляра.
Переконайтеся, що об'єм EBS та екземпляр знаходяться в одній зоні.
Крок 2: Виберіть опцію "підключити об'єм", клацнувши правою кнопкою миші на створеному об'ємі.
Крок 3: Виберіть екземпляр з текстового поля екземпляра.
Щоб виконати цю дію, використовуйте наступну команду:
Підключіть об'єм EBS.
Крок 4: Увійдіть до екземпляра EC2 і перелікуйте доступні диски, використовуючи команду lsblk
.
Крок 5: Перевірте, чи є дані на об'ємі, використовуючи команду sudo file -s /dev/xvdf
.
Якщо вивід вище наведеної команди показує "/dev/xvdf: data", це означає, що об'єм порожній.
Крок 6: Форматуйте об'єм у файлову систему ext4, використовуючи команду sudo mkfs -t ext4 /dev/xvdf
. Альтернативно, ви також можете використовувати формат xfs, використовуючи команду sudo mkfs -t xfs /dev/xvdf
. Зверніть увагу, що ви повинні використовувати або ext4, або xfs.
Крок 7: Створіть каталог на ваш вибір для підключення нового об'єму ext4. Наприклад, ви можете використовувати назву "newvolume".
Щоб виконати цю дію, використовуйте команду sudo mkdir /newvolume
.
Крок 8: Підключіть об'єм до каталогу "newvolume", використовуючи команду sudo mount /dev/xvdf /newvolume/
.
Крок 9: Перейдіть до каталогу "newvolume" і перевірте дисковий простір, щоб підтвердити підключення об'єму.
Щоб виконати цю дію, використовуйте такі команди:
Перейдіть до
/newvolume
.Перевірте дисковий простір, використовуючи команду
df -h .
. Вивід цієї команди має показувати вільний простір у каталозі "newvolume".
Ви можете зробити це з Pacu, використовуючи модуль ebs__explore_snapshots
.
Перевірка знімка в AWS (використовуючи cli)
Shadow Copy
Будь-який користувач AWS, який має дозвіл EC2:CreateSnapshot
, може вкрасти хеші всіх доменних користувачів, створивши знімок Контролера домену, змонтувавши його на екземплярі, яким вони керують, і експортувавши NTDS.dit та SYSTEM реєстровий файл для використання з проектом secretsdump від Impacket.
Ви можете використовувати цей інструмент для автоматизації атаки: https://github.com/Static-Flow/CloudCopy або ви можете використовувати одну з попередніх технік після створення знімка.
References
Last updated