AWS - EC2 Persistence
EC2
有关更多信息,请查看:
AWS - EC2, EBS, ELB, SSM, VPC & VPN Enum安全组连接跟踪持久性
如果防御者发现EC2 实例被入侵,他可能会尝试隔离该机器的网络。他可以通过显式拒绝 NACL(但 NACL 影响整个子网),或者更改安全组以不允许任何入站或出站流量来实现这一点。
如果攻击者从该机器发起了反向 shell,即使 SG 被修改为不允许入站或出站流量,由于安全组连接跟踪,连接也不会被终止。
EC2 生命周期管理器
此服务允许调度创建 AMI 和快照,甚至与其他帐户共享。 攻击者可以配置每周生成所有镜像或所有卷的 AMI 或快照,并与他的帐户共享。
定时实例
可以安排实例每天、每周甚至每月运行。攻击者可以运行一个具有高权限或有趣访问权限的机器。
Spot Fleet 请求
Spot 实例比常规实例更便宜。攻击者可以启动一个为期 5 年的小型 Spot Fleet 请求(例如),具有自动 IP分配和一个用户数据,当Spot 实例启动时发送给攻击者IP 地址和一个高权限 IAM 角色。
后门实例
攻击者可以访问实例并在其中设置后门:
例如使用传统的rootkit
添加一个新的公共 SSH 密钥(查看EC2 提权选项)
在用户数据中设置后门
后门启动配置
后门使用的 AMI
后门用户数据
后门密钥对
VPN
创建 VPN,使攻击者能够直接通过它连接到 VPC。
VPC Peering
在受害者 VPC 和攻击者 VPC 之间创建对等连接,这样攻击者就能够访问受害者 VPC。
Last updated