AWS - DynamoDB Post Exploitation
DynamoDB
Para más información consulta:
pageAWS - DynamoDB Enumdynamodb:BatchGetItem
dynamodb:BatchGetItem
Un atacante con estos permisos podrá obtener elementos de tablas por la clave primaria (no puedes simplemente solicitar todos los datos de la tabla). Esto significa que necesitas conocer las claves primarias (puedes obtenerlas al obtener los metadatos de la tabla (describe-table
).
Impacto potencial: Escalada de privilegios indirecta al localizar información sensible en la tabla
dynamodb:GetItem
dynamodb:GetItem
Similar a los permisos anteriores, este permite a un posible atacante leer valores de solo 1 tabla dado la clave primaria de la entrada a recuperar:
Con este permiso también es posible utilizar el método transact-get-items
de la siguiente manera:
Impacto potencial: Escalada indirecta de privilegios al localizar información sensible en la tabla
dynamodb:Query
dynamodb:Query
Similar a los permisos anteriores, este permite a un posible atacante leer valores de solo 1 tabla dado la clave primaria de la entrada a recuperar. Permite usar un subconjunto de comparaciones, pero la única comparación permitida con la clave primaria (que debe aparecer) es "EQ", por lo que no se puede usar una comparación para obtener toda la base de datos en una solicitud.
Impacto potencial: Escalada indirecta de privilegios al localizar información sensible en la tabla
dynamodb:Scan
dynamodb:Scan
Puedes usar este permiso para volcar fácilmente toda la tabla.
Impacto Potencial: Escalada de privilegios indirecta al localizar información sensible en la tabla
dynamodb:PartiQLSelect
dynamodb:PartiQLSelect
Puedes usar este permiso para volcar fácilmente toda la tabla.
Este permiso también permite realizar batch-execute-statement
como:
pero necesitas especificar la clave primaria con un valor, por lo que no es tan útil.
Impacto Potencial: Escalada de privilegios indirecta al localizar información sensible en la tabla
dynamodb:ExportTableToPointInTime|(dynamodb:UpdateContinuousBackups)
dynamodb:ExportTableToPointInTime|(dynamodb:UpdateContinuousBackups)
Esta permiso permitirá a un atacante exportar toda la tabla a un bucket de S3 de su elección:
Ten en cuenta que para que esto funcione, la tabla debe tener habilitada la recuperación en un momento determinado. Puedes verificar si la tabla lo tiene con:
Si no está habilitado, necesitarás habilitarlo y para eso necesitas el permiso dynamodb:ExportTableToPointInTime
:
Impacto Potencial: Escalada de privilegios indirecta al localizar información sensible en la tabla
dynamodb:CreateTable
, dynamodb:RestoreTableFromBackup
, (dynamodb:CreateBackup)
dynamodb:CreateTable
, dynamodb:RestoreTableFromBackup
, (dynamodb:CreateBackup)
Con estos permisos, un atacante podría crear una nueva tabla a partir de una copia de seguridad (o incluso crear una copia de seguridad para luego restaurarla en una tabla diferente). Luego, con los permisos necesarios, podría revisar información de las copias de seguridad que ya no estaría en la tabla de producción.
Impacto potencial: Escalada de privilegios indirecta al localizar información sensible en la copia de seguridad de la tabla
dynamodb:PutItem
dynamodb:PutItem
Esta permiso permite a los usuarios agregar un nuevo elemento a la tabla o reemplazar un elemento existente con un nuevo elemento. Si un elemento con la misma clave primaria ya existe, el elemento completo será reemplazado con el nuevo elemento. Si la clave primaria no existe, se creará un nuevo elemento con la clave primaria especificada.
Impacto potencial: Explotación de vulnerabilidades/bypass adicionales al poder agregar/modificar datos en una tabla de DynamoDB
dynamodb:UpdateItem
dynamodb:UpdateItem
Esta permiso permite a los usuarios modificar los atributos existentes de un ítem o agregar nuevos atributos a un ítem. No reemplaza el ítem completo; solo actualiza los atributos especificados. Si la clave primaria no existe en la tabla, la operación creará un nuevo ítem con la clave primaria especificada y establecerá los atributos especificados en la expresión de actualización.
Impacto potencial: Explotación de vulnerabilidades/bypasses adicionales al poder agregar/modificar datos en una tabla de DynamoDB
dynamodb:DeleteTable
dynamodb:DeleteTable
Un atacante con este permiso puede eliminar una tabla de DynamoDB, causando pérdida de datos.
Impacto potencial: Pérdida de datos y interrupción de servicios que dependen de la tabla eliminada.
dynamodb:DeleteBackup
dynamodb:DeleteBackup
Un atacante con este permiso puede eliminar una copia de seguridad de DynamoDB, causando potencialmente la pérdida de datos en caso de un escenario de recuperación de desastres.
Impacto potencial: Pérdida de datos e incapacidad para recuperarse de una copia de seguridad durante un escenario de recuperación ante desastres.
dynamodb:StreamSpecification
, dynamodb:UpdateTable
, dynamodb:DescribeStream
, dynamodb:GetShardIterator
, dynamodb:GetRecords
dynamodb:StreamSpecification
, dynamodb:UpdateTable
, dynamodb:DescribeStream
, dynamodb:GetShardIterator
, dynamodb:GetRecords
TODO: Probar si esto realmente funciona
Un atacante con estos permisos puede habilitar un flujo en una tabla de DynamoDB, actualizar la tabla para comenzar a transmitir cambios y luego acceder al flujo para monitorear los cambios en la tabla en tiempo real. Esto permite al atacante monitorear y extraer cambios de datos, lo que potencialmente podría resultar en una fuga de datos.
Habilitar un flujo en una tabla de DynamoDB:
Describe the stream to obtain the ARN and other details:
2. Describir el flujo para obtener el ARN y otros detalles:
Obtener el iterador de fragmentos utilizando el ARN del flujo:
Utiliza el iterador de fragmentos para acceder y exfiltrar datos del flujo:
Impacto potencial: Monitoreo en tiempo real y fuga de datos de los cambios en la tabla DynamoDB.
Última actualización