AWS - EC2 Persistence
AWSハッキングの学習と練習:
HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングの学習と練習: 
HackTricks Training GCP Red Team Expert (GRTE)
EC2
詳細はこちらをチェックしてください:
AWS - EC2, EBS, ELB, SSM, VPC & VPN Enumセキュリティグループ接続トラッキングの永続化
EC2インスタンスが侵害されたことが発見された場合、マシンのネットワークを孤立しようとするかもしれません。これは明示的なDeny NACL（ただし、NACLはサブネット全体に影響を与えます）やどのようなインバウンドまたはアウトバウンドトラフィックも許可しないようにセキュリティグループを変更することで行うことができます。
攻撃者がマシンから発信されたリバースシェルを持っていた場合、セキュリティグループが変更されてもインバウンドまたはアウトバウンドトラフィックを許可しないように変更されても、セキュリティグループ接続トラッキングによって接続が切断されない。
EC2ライフサイクルマネージャー
このサービスは、AMIとスナップショットの作成をスケジュールし、さらに他のアカウントと共有することができます。 攻撃者は、すべてのイメージまたはすべてのボリュームのAMIまたはスナップショットの生成を毎週行い、自分のアカウントと共有することができます。
スケジュールされたインスタンス
インスタンスを毎日、毎週、または月次に実行することが可能です。攻撃者は、高い権限や興味深いアクセスが可能なマシンを実行することができます。
スポットフリートリクエスト
スポットインスタンスは通常のインスタンスよりも安価です。攻撃者は、5年間の小さなスポットフリートリクエスト（例えば）を起動し、自動IP割り当てとユーザーデータを使用して、スポットインスタンスが起動するときに攻撃者に送信するIPアドレスと高い特権を持つIAMロールを設定することができます。
バックドアインスタンス
攻撃者はインスタンスにアクセスしてバックドアを設置することができます:
例えば、従来のrootkitを使用する
新しいパブリックSSHキーを追加する（EC2特権昇格オプションを確認）
ユーザーデータにバックドアを設置する
バックドア起動構成
使用されているAMIにバックドアを設置する
ユーザーデータにバックドアを設置する
キーペアにバックドアを設置する
VPN
VPNを作成して、攻撃者が直接VPCに接続できるようにします。
VPCピアリング
被害者VPCと攻撃者VPCの間にピアリング接続を作成して、攻撃者が被害者VPCにアクセスできるようにします。
AWSハッキングの学習と練習:HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングの学習と練習: HackTricks Training GCP Red Team Expert (GRTE)
Last updated