AWS - EBS Snapshot Dump
Controllare uno snapshot localmente
Nota che dsnap
non ti permetterà di scaricare snapshot pubblici. Per aggirare questo, puoi fare una copia dello snapshot nel tuo account personale e scaricarlo:
Per ulteriori informazioni su questa tecnica, consulta la ricerca originale su https://rhinosecuritylabs.com/aws/exploring-aws-ebs-snapshots/
Puoi farlo con Pacu utilizzando il modulo ebs__download_snapshots
Verifica di uno snapshot in AWS
Montare in una VM EC2 sotto il tuo controllo (deve essere nella stessa regione della copia del backup):
Passo 1: Creare un nuovo volume della dimensione e tipo preferiti andando su EC2 –> Volumes.
Per poter eseguire questa azione, seguire questi comandi:
Creare un volume EBS da collegare all'istanza EC2.
Assicurarsi che il volume EBS e l'istanza siano nella stessa zona.
Passo 2: Selezionare l'opzione "attach volume" facendo clic con il tasto destro sul volume creato.
Passo 3: Selezionare l'istanza dalla casella di testo dell'istanza.
Per poter eseguire questa azione, utilizzare il seguente comando:
Collegare il volume EBS.
Passo 4: Accedere all'istanza EC2 e elencare i dischi disponibili usando il comando lsblk
.
Passo 5: Verificare se il volume contiene dati usando il comando sudo file -s /dev/xvdf
.
Se l'output del comando sopra mostra "/dev/xvdf: data", significa che il volume è vuoto.
Passo 6: Formattare il volume al filesystem ext4 usando il comando sudo mkfs -t ext4 /dev/xvdf
. In alternativa, è possibile utilizzare il formato xfs usando il comando sudo mkfs -t xfs /dev/xvdf
. Si noti che si dovrebbe usare o ext4 o xfs.
Passo 7: Creare una directory a scelta per montare il nuovo volume ext4. Ad esempio, è possibile utilizzare il nome "newvolume".
Per poter eseguire questa azione, utilizzare il comando sudo mkdir /newvolume
.
Passo 8: Montare il volume nella directory "newvolume" usando il comando sudo mount /dev/xvdf /newvolume/
.
Passo 9: Cambiare directory nella directory "newvolume" e controllare lo spazio su disco per convalidare il montaggio del volume.
Per poter eseguire questa azione, utilizzare i seguenti comandi:
Cambiare directory a
/newvolume
.Controllare lo spazio su disco usando il comando
df -h .
. L'output di questo comando dovrebbe mostrare lo spazio libero nella directory "newvolume".
Puoi fare questo con Pacu usando il modulo ebs__explore_snapshots
.
Verifica di uno snapshot in AWS (usando cli)
Shadow Copy
Qualsiasi utente AWS che possiede il permesso EC2:CreateSnapshot
può rubare gli hash di tutti gli utenti del dominio creando un snapshot del Domain Controller, montandolo su un'istanza che controllano ed esportando il file NTDS.dit e l'hive del registro SYSTEM per l'uso con il progetto secretsdump di Impacket.
Puoi usare questo strumento per automatizzare l'attacco: https://github.com/Static-Flow/CloudCopy oppure puoi usare una delle tecniche precedenti dopo aver creato uno snapshot.
Riferimenti
Last updated