Pentesting Cloud Methodology

从零开始学习AWS黑客技术，成为英雄 htARTE (HackTricks AWS Red Team Expert)！

支持HackTricks的其他方式：

• 如果您想在HackTricks中看到您的公司广告或下载HackTricks的PDF，请查看订阅计划！

• 获取官方PEASS & HackTricks商品

• 发现PEASS家族，我们独家的NFTs系列

• 加入 💬 Discord群组 或 telegram群组 或在Twitter 🐦 上关注我 @carlospolopm。

• 通过向 HackTricks 和 HackTricks Cloud github仓库提交PR来分享您的黑客技巧。**

基本方法论

每个云都有其特殊性，但总体上有一些渗透测试者在测试云环境时应该检查的常见事项：

• 基准检查

• 这将帮助您了解环境的规模和使用的服务

• 它还将允许您找到一些快速的配置错误，因为您可以使用自动化工具执行大多数测试

• 服务枚举

• 如果您正确执行了基准测试，这里可能不会发现更多的配置错误，但您可能会发现基准测试中未查找的一些错误。

• 这将使您了解云环境中确切使用的内容

• 这将在下一步中大有帮助

• 检查暴露的资产

• 这可以在上一节期间完成，您需要找出所有可能以某种方式暴露给互联网的内容以及如何访问它。

• 这里我指的是手动暴露的基础设施，如带有网页的实例或其他暴露的端口，以及可以配置为暴露的其他云托管服务（如数据库或存储桶）

• 然后您应该检查该资源是否可以暴露（机密信息？漏洞？暴露服务中的配置错误？）

• 检查权限

• 这里您应该找出云中每个角色/用户的所有权限以及它们的使用方式

• 太多高权限（控制一切）账户？未使用的生成的密钥？... 大多数这些检查应该已经在基准测试中完成

• 如果客户正在使用OpenID或SAML或其他联合身份认证，您可能需要向他们进一步询问每个角色是如何分配的信息（管理员角色分配给1个用户还是100个用户并不相同）

• 发现哪些用户具有管理员权限"*:*"是不够的。还有很多其他权限，根据使用的服务，可能非常敏感。

• 此外，还有潜在的权限提升方法可以通过滥用权限来追踪。所有这些事情都应该考虑在内，并且应该报告尽可能多的权限提升路径。

• 检查集成

• 高度可能云环境内部或SaaS与其他云的集成正在使用。

• 对于您正在审计的云与其他平台的集成，您应该通知谁有权限（滥用）使用该集成，并且您应该询问执行的操作有多敏感。 例如，谁可以在AWS从中获取数据的存储桶中写入（询问GCP处理该数据的操作有多敏感）。

• 对于您正在审计的云内部来自外部平台的集成，您应该询问谁有外部权限（滥用）使用该集成，并检查数据的使用方式。 例如，如果一个服务正在使用托管在GCR中的Docker镜像，您应该询问谁有权限修改它，以及该镜像在AWS云内执行时将获取哪些敏感信息和访问权限。

多云工具

有几种工具可以用来测试不同的云环境。安装步骤和链接将在本节中指示。

PurplePanda

一个工具，用于识别云中和跨云/SaaS的错误配置和权限提升路径。

安装

# You need to install and run neo4j also
git clone https://github.com/carlospolop/PurplePanda
cd PurplePanda
python3 -m venv .
source bin/activate
python3 -m pip install -r requirements.txt
export PURPLEPANDA_NEO4J_URL="bolt://neo4j@localhost:7687"
export PURPLEPANDA_PWD="neo4j_pwd_4_purplepanda"
python3 main.py -h # Get help

GCP

export GOOGLE_DISCOVERY=$(echo 'google:
- file_path: ""

- file_path: ""
service_account_id: "[e-mail]"' | base64)

python3 main.py -a -p google #Get basic info of the account to check it's correctly configured
python3 main.py -e -p google #Enumerate the env

Prowler

它支持 AWS, GCP & Azure。查看如何配置每个提供商，请访问 https://docs.prowler.cloud/en/latest/#aws

# Install
pip install prowler
prowler -v

# Run
prowler <provider>
# Example
prowler aws --profile custom-profile [-M csv json json-asff html]

# Get info about checks & services
prowler <provider> --list-checks
prowler <provider> --list-services

CloudSploit

AWS, Azure, Github, Google, Oracle, Alibaba

安装

# Install
git clone https://github.com/aquasecurity/cloudsploit.git
cd cloudsploit
npm install
./index.js -h
## Docker instructions in github

GCP

## You need to have creds for a service account and set them in config.js file
./index.js --cloud google --config </abs/path/to/config.js>

ScoutSuite

AWS、Azure、GCP、阿里巴巴云、Oracle Cloud Infrastructure

安装

mkdir scout; cd scout
virtualenv -p python3 venv
source venv/bin/activate
pip install scoutsuite
scout --help
## Using Docker: https://github.com/nccgroup/ScoutSuite/wiki/Docker-Image

GCP

scout gcp --report-dir /tmp/gcp --user-account --all-projects
## use "--service-account KEY_FILE" instead of "--user-account" to use a service account

SCOUT_FOLDER_REPORT="/tmp"
for pid in $(gcloud projects list --format="value(projectId)"); do
echo "================================================"
echo "Checking $pid"
mkdir "$SCOUT_FOLDER_REPORT/$pid"
scout gcp --report-dir "$SCOUT_FOLDER_REPORT/$pid" --no-browser --user-account --project-id "$pid"
done

Steampipe

安装

下载并安装 Steampipe (https://steampipe.io/downloads)。或者使用 Brew：

brew tap turbot/tap
brew install steampipe

GCP

# Install gcp plugin
steampipe plugin install gcp

# Use https://github.com/turbot/steampipe-mod-gcp-compliance.git
git clone https://github.com/turbot/steampipe-mod-gcp-compliance.git
cd steampipe-mod-gcp-compliance
# To run all the checks from the dashboard
steampipe dashboard
# To run all the checks from rhe cli
steampipe check all

检查所有项目

为了检查所有项目，您需要生成 gcp.spc 文件并指明所有要测试的项目。您可以按照以下脚本的指示操作

FILEPATH="/tmp/gcp.spc"
rm -rf "$FILEPATH" 2>/dev/null

# Generate a json like object for each project
for pid in $(gcloud projects list --format="value(projectId)"); do
echo "connection \"gcp_$(echo -n $pid | tr "-" "_" )\" {
plugin  = \"gcp\"
project = \"$pid\"
}" >> "$FILEPATH"
done

# Generate the aggragator to call
echo 'connection "gcp_all" {
plugin      = "gcp"
type        = "aggregator"
connections = ["gcp_*"]
}' >> "$FILEPATH"

echo "Copy $FILEPATH in ~/.steampipe/config/gcp.spc if it was correctly generated"

要检查其他 GCP 洞察（对枚举服务有用），请使用：https://github.com/turbot/steampipe-mod-gcp-insights

要检查 Terraform GCP 代码：https://github.com/turbot/steampipe-mod-terraform-gcp-compliance

更多 Steampipe 的 GCP 插件：https://github.com/turbot?q=gcp

AWS

# Install aws plugin
steampipe plugin install aws

# Modify the spec indicating in "profile" the profile name to use
nano ~/.steampipe/config/aws.spc

# Get some info on how the AWS account is being used
git clone https://github.com/turbot/steampipe-mod-aws-insights.git
cd steampipe-mod-aws-insights
steampipe dashboard

# Get the services exposed to the internet
git clone https://github.com/turbot/steampipe-mod-aws-perimeter.git
cd steampipe-mod-aws-perimeter
steampipe dashboard

# Run the benchmarks
git clone https://github.com/turbot/steampipe-mod-aws-compliance
cd steampipe-mod-aws-compliance
steampipe dashboard # To see results in browser
steampipe check all --export=/tmp/output4.json

检查Terraform AWS代码：https://github.com/turbot/steampipe-mod-terraform-aws-compliance

更多Steampipe的AWS插件：https://github.com/orgs/turbot/repositories?q=aws

cs-suite

AWS、GCP、Azure、DigitalOcean。 它需要python2.7并且看起来没有维护。

Nessus

Nessus有一个_审计云基础设施_扫描支持：AWS、Azure、Office 365、Rackspace、Salesforce。在Azure中需要一些额外配置来获取客户端ID。

cloudlist

Cloudlist是一个多云工具，用于从云提供商获取资产（主机名，IP地址）。

Cloudlist

cd /tmp
wget https://github.com/projectdiscovery/cloudlist/releases/latest/download/cloudlist_1.0.1_macOS_arm64.zip
unzip cloudlist_1.0.1_macOS_arm64.zip
chmod +x cloudlist
sudo mv cloudlist /usr/local/bin

第二个标签

## For GCP it requires service account JSON credentials
cloudlist -config </path/to/config>

cartography

Cartography 是一个 Python 工具，它整合了基础设施资产及其之间的关系，并通过 Neo4j 数据库提供直观的图形视图。

安装

# Installation
docker image pull ghcr.io/lyft/cartography
docker run --platform linux/amd64 ghcr.io/lyft/cartography cartography --help
## Install a Neo4j DB version 3.5.*

GCP

docker run --platform linux/amd64 \
--volume "$HOME/.config/gcloud/application_default_credentials.json:/application_default_credentials.json" \
-e GOOGLE_APPLICATION_CREDENTIALS="/application_default_credentials.json" \
-e NEO4j_PASSWORD="s3cr3t" \
ghcr.io/lyft/cartography  \
--neo4j-uri bolt://host.docker.internal:7687 \
--neo4j-password-env-var NEO4j_PASSWORD \
--neo4j-user neo4j


# It only checks for a few services inside GCP (https://lyft.github.io/cartography/modules/gcp/index.html)
## Cloud Resource Manager
## Compute
## DNS
## Storage
## Google Kubernetes Engine
### If you can run starbase or purplepanda you will get more info

starbase

Starbase 从包括云基础设施、SaaS应用程序、安全控制等在内的服务和系统中收集资产和关系，并通过Neo4j数据库支持，呈现为直观的图形视图。

安装

# You are going to need Node version 14, so install nvm following https://tecadmin.net/install-nvm-macos-with-homebrew/
npm install --global yarn
nvm install 14
git clone https://github.com/JupiterOne/starbase.git
cd starbase
nvm use 14
yarn install
yarn starbase --help
# Configure manually config.yaml depending on the env to analyze
yarn starbase setup
yarn starbase run

# Docker
git clone https://github.com/JupiterOne/starbase.git
cd starbase
cp config.yaml.example config.yaml
# Configure manually config.yaml depending on the env to analyze
docker build --no-cache -t starbase:latest .
docker-compose run starbase setup
docker-compose run starbase run

GCP

## Config for GCP
### Check out: https://github.com/JupiterOne/graph-google-cloud/blob/main/docs/development.md
### It requires service account credentials

integrations:
-
name: graph-google-cloud
instanceId: testInstanceId
directory: ./.integrations/graph-google-cloud
gitRemoteUrl: https://github.com/JupiterOne/graph-google-cloud.git
config:
SERVICE_ACCOUNT_KEY_FILE: '{Check https://github.com/JupiterOne/graph-google-cloud/blob/main/docs/development.md#service_account_key_file-string}'
PROJECT_ID: ""
FOLDER_ID: ""
ORGANIZATION_ID: ""
CONFIGURE_ORGANIZATION_PROJECTS: false

storage:
engine: neo4j
config:
username: neo4j
password: s3cr3t
uri: bolt://localhost:7687
#Consider using host.docker.internal if from docker

SkyArk

在扫描的AWS或Azure环境中发现最具特权的用户，包括AWS Shadow Admins。它使用powershell。

Import-Module .\SkyArk.ps1 -force
Start-AzureStealth

# in the Cloud Console
IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/cyberark/SkyArk/master/AzureStealth/AzureStealth.ps1')
Scan-AzureAdmins

Cloud Brute

一款用于在顶级云提供商（Amazon、Google、Microsoft、DigitalOcean、Alibaba、Vultr、Linode）上找到公司（目标）基础设施、文件和应用程序的工具。

CloudFox

• CloudFox 是一款用于在云基础设施中找到可利用攻击路径的工具（目前仅支持 AWS 和 Azure，GCP 即将推出）。

• 它是一个枚举工具，旨在补充手动渗透测试。

• 它不会在云环境中创建或修改任何数据。

更多云安全工具列表

• https://github.com/RyanJarv/awesome-cloud-sec

Google

GCP

GCP Pentesting

Workspace

GWS - Workspace Pentesting

AWS

AWS Pentesting

Azure

Azure Pentesting

攻击图

Stormspotter 创建 Azure 订阅资源的“攻击图”。它使红队和渗透测试人员能够可视化攻击面和租户内的枢纽机会，并极大地加强防御者快速定位和优先处理事件响应工作。

Office365

您需要 全局管理员 或至少 全局管理员阅读器（但请注意全局管理员阅读器有些限制）。然而，这些限制出现在一些 PS 模块中，并且可以通过 通过网络应用程序 访问功能来绕过。

通过 htARTE (HackTricks AWS 红队专家) 从零开始学习 AWS 黑客攻击！

支持 HackTricks 的其他方式：

• 如果您想在 HackTricks 中看到您的公司广告或下载 HackTricks 的 PDF，请查看订阅计划！

• 获取官方 PEASS & HackTricks 商品

• 发现PEASS 家族，我们独家的 NFTs 系列

• 加入 💬 Discord 群组 或 telegram 群组 或在 Twitter 🐦 上关注我 @carlospolopm。

• 通过向 HackTricks 和 HackTricks Cloud github 仓库提交 PR 来分享您的黑客技巧。