Français - Ht Cloud
HackTricks Training Twitter Linkedin Sponsor

AWS - Relational Database (RDS) Enum

Soutenez HackTricks

Informations de base

Le Relational Database Service (RDS) offert par AWS est conçu pour simplifier le déploiement, l'exploitation et la mise à l'échelle d'une base de données relationnelle dans le cloud. Ce service offre les avantages de l'efficacité des coûts et de la scalabilité tout en automatisant les tâches laborieuses comme l'approvisionnement matériel, la configuration de la base de données, les correctifs et les sauvegardes.

AWS RDS prend en charge divers moteurs de bases de données relationnelles largement utilisés, notamment MySQL, PostgreSQL, MariaDB, Oracle Database, Microsoft SQL Server et Amazon Aurora, avec une compatibilité pour MySQL et PostgreSQL.

Les principales caractéristiques de RDS incluent :

  • Gestion des instances de base de données simplifiée.

  • Création de répliques en lecture pour améliorer les performances de lecture.

  • Configuration de déploiements multi-Zone de Disponibilité (AZ) pour assurer une haute disponibilité et des mécanismes de basculement.

  • Intégration avec d'autres services AWS, tels que :

  • AWS Identity and Access Management (IAM) pour un contrôle d'accès robuste.

  • AWS CloudWatch pour une surveillance et des métriques complètes.

  • AWS Key Management Service (KMS) pour assurer le chiffrement au repos.

Identifiants

Lors de la création du cluster DB, le nom d'utilisateur principal peut être configuré (admin par défaut). Pour générer le mot de passe de cet utilisateur, vous pouvez :

  • Indiquer un mot de passe vous-même

  • Demander à RDS de le générer automatiquement

  • Demander à RDS de le gérer dans AWS Secret Manager chiffré avec une clé KMS

Authentification

Il existe 3 types d'options d'authentification, mais l'utilisation du mot de passe principal est toujours autorisée :

Accès public & VPC

Par défaut, aucun accès public n'est accordé aux bases de données, cependant il pourrait être accordé. Par conséquent, par défaut, seules les machines du même VPC pourront y accéder si le groupe de sécurité sélectionné (stocké dans EC2 SG) le permet.

Au lieu d'exposer une instance DB, il est possible de créer un RDS Proxy qui améliore la scalabilité et la disponibilité du cluster DB.

De plus, le port de la base de données peut également être modifié.

Chiffrement

Le chiffrement est activé par défaut en utilisant une clé gérée par AWS (une CMK pourrait être choisie à la place).

En activant votre chiffrement, vous activez le chiffrement au repos pour votre stockage, vos instantanés, vos répliques en lecture et vos sauvegardes. Les clés pour gérer ce chiffrement peuvent être émises en utilisant KMS. Il n'est pas possible d'ajouter ce niveau de chiffrement après la création de votre base de données. Cela doit être fait lors de sa création.

Cependant, il existe une solution de contournement permettant de chiffrer une base de données non chiffrée comme suit. Vous pouvez créer un instantané de votre base de données non chiffrée, créer une copie chiffrée de cet instantané, utiliser cet instantané chiffré pour créer une nouvelle base de données, et enfin, votre base de données serait alors chiffrée.

Transparent Data Encryption (TDE)

En plus des capacités de chiffrement inhérentes à RDS au niveau de l'application, RDS prend également en charge des mécanismes de chiffrement supplémentaires au niveau de la plateforme pour protéger les données au repos. Cela inclut le Transparent Data Encryption (TDE) pour Oracle et SQL Server. Cependant, il est crucial de noter que bien que TDE améliore la sécurité en chiffrant les données au repos, il peut également affecter les performances de la base de données. Cet impact sur les performances est particulièrement notable lorsqu'il est utilisé en conjonction avec les fonctions cryptographiques MySQL ou les fonctions cryptographiques Microsoft Transact-SQL.

Pour utiliser TDE, certaines étapes préliminaires sont nécessaires :

  1. Association de groupe d'options :

  • La base de données doit être associée à un groupe d'options. Les groupes d'options servent de conteneurs pour les paramètres et les fonctionnalités, facilitant la gestion de la base de données, y compris les améliorations de sécurité.

  • Cependant, il est important de noter que les groupes d'options ne sont disponibles que pour certains moteurs de base de données et versions.

  1. Inclusion de TDE dans le groupe d'options :

  • Une fois associé à un groupe d'options, l'option Oracle Transparent Data Encryption doit être incluse dans ce groupe.

  • Il est essentiel de reconnaître qu'une fois l'option TDE ajoutée à un groupe d'options, elle devient un élément permanent et ne peut pas être supprimée.

  1. Modes de chiffrement TDE :

  • TDE offre deux modes de chiffrement distincts :

  • Chiffrement de tablespace TDE : Ce mode chiffre des tables entières, offrant une protection des données plus large.

  • Chiffrement de colonne TDE : Ce mode se concentre sur le chiffrement d'éléments spécifiques et individuels au sein de la base de données, permettant un contrôle plus granulaire sur les données chiffrées.

Comprendre ces prérequis et les subtilités opérationnelles de TDE est crucial pour mettre en œuvre et gérer efficacement le chiffrement au sein de RDS, assurant à la fois la sécurité des données et la conformité aux normes nécessaires.

Énumération

# Clusters info
## Get Endpoints, username, port, iam auth enabled, attached roles, SG
aws rds describe-db-clusters
aws rds describe-db-cluster-endpoints #Cluster URLs
aws rds describe-db-cluster-backtracks --db-cluster-identifier <cluster-name>

## Cluster snapshots
aws rds describe-db-cluster-snapshots

# Get DB instances info
aws rds describe-db-instances #username, url, port, vpc, SG, is public?
aws rds describe-db-security-groups

## Find automated backups
aws rds describe-db-instance-automated-backups

## Find snapshots
aws rds describe-db-snapshots
aws rds describe-db-snapshots --include-public --snapshot-type public
## Restore snapshot as new instance
aws rds restore-db-instance-from-db-snapshot --db-instance-identifier <ID> --db-snapshot-identifier <ID> --availability-zone us-west-2a

# Any public snapshot in the account
aws rds describe-db-snapshots --snapshot-type public

# Proxies
aws rds describe-db-proxy-endpoints
aws rds describe-db-proxy-target-groups
aws rds describe-db-proxy-targets

## reset credentials of MasterUsername
aws rds modify-db-instance --db-instance-identifier <ID> --master-user-password <NewPassword> --apply-immediately

Accès non authentifié

AWS - RDS Unauthenticated Enum

Privesc

AWS - RDS Privesc

Post Exploitation

AWS - RDS Post Exploitation

Persistance

AWS - RDS Persistence

Injection SQL

Il existe des moyens d'accéder aux données de DynamoDB avec la syntaxe SQL, par conséquent, les injections SQL typiques sont également possibles.

Soutenez HackTricks
PreviousAWS - Redshift EnumNextAWS - Route53 Enum

Last updated