AWS - SQS Post Exploitation

学习并练习AWS黑客技术：HackTricks培训AWS红队专家（ARTE） 学习并练习GCP黑客技术：HackTricks培训GCP红队专家（GRTE）

支持HackTricks

• 检查订阅计划!

• 加入 💬 Discord群组 或 电报群组 或 关注我们的Twitter 🐦 @hacktricks_live.

• 通过向HackTricks和HackTricks Cloud github仓库提交PR来分享黑客技巧。

SQS

有关更多信息，请查看：

AWS - SQS Enum

sqs:SendMessage，sqs:SendMessageBatch

攻击者可以向SQS队列发送恶意或不需要的消息，可能导致数据损坏，触发意外操作或耗尽资源。

aws sqs send-message --queue-url <value> --message-body <value>
aws sqs send-message-batch --queue-url <value> --entries <value>

潜在影响：漏洞利用、数据损坏、意外操作或资源耗尽。

sqs:ReceiveMessage, sqs:DeleteMessage, sqs:ChangeMessageVisibility

攻击者可以接收、删除或修改 SQS 队列中的消息的可见性，导致依赖这些消息的应用程序出现消息丢失、数据损坏或服务中断。

aws sqs receive-message --queue-url <value>
aws sqs delete-message --queue-url <value> --receipt-handle <value>
aws sqs change-message-visibility --queue-url <value> --receipt-handle <value> --visibility-timeout <value>

潜在影响：窃取敏感信息，消息丢失，数据损坏，以及影响依赖于受影响消息的应用程序的服务中断。

sqs:DeleteQueue

攻击者可以删除整个 SQS 队列，导致消息丢失并影响依赖该队列的应用程序。

Copy codeaws sqs delete-queue --queue-url <value>

潜在影响：对使用已删除队列的应用程序造成消息丢失和服务中断。

sqs:PurgeQueue

攻击者可以清空 SQS 队列中的所有消息，导致消息丢失并可能影响依赖这些消息的应用程序。

Copy codeaws sqs purge-queue --queue-url <value>

潜在影响：对依赖被清除消息的应用程序造成消息丢失和服务中断。

sqs:SetQueueAttributes

攻击者可以修改 SQS 队列的属性，可能影响其性能、安全性或可用性。

aws sqs set-queue-attributes --queue-url <value> --attributes <value>

潜在影响：配置错误可能导致性能下降、安全问题或可用性降低。

sqs:TagQueue，sqs:UntagQueue

攻击者可以添加、修改或移除 SQS 资源的标签，从而破坏您组织基于标签的成本分配、资源跟踪和访问控制策略。

aws sqs tag-queue --queue-url <value> --tags Key=<key>,Value=<value>
aws sqs untag-queue --queue-url <value> --tag-keys <key>

潜在影响：破坏成本分配、资源跟踪和基于标签的访问控制策略。

sqs:RemovePermission

攻击者可以通过移除与 SQS 队列关联的策略来撤销合法用户或服务的权限。这可能导致依赖该队列的应用程序正常运行出现中断。

arduinoCopy codeaws sqs remove-permission --queue-url <value> --label <value>

潜在影响：由于未经授权的权限移除，导致依赖队列的应用程序正常功能受到干扰。

学习并实践AWS Hacking：HackTricks 培训 AWS 红队专家 (ARTE) 学习并实践GCP Hacking：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 检查订阅计划!

• 加入 💬 Discord 群组 或 电报群组 或 关注我们的 Twitter 🐦 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud github 仓库提交 PR 来分享黑客技巧。