AWS - EBS Snapshot Dump
Naucz się i ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Naucz się i ćwicz GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Sprawdzanie migawki lokalnie
Uwaga że dsnap
nie pozwoli na pobranie publicznych snapshotów. Aby to obejść, możesz zrobić kopię snapshotu na swoim osobistym koncie i pobrać ją:
Aby uzyskać więcej informacji na temat tej techniki, sprawdź oryginalne badania na https://rhinosecuritylabs.com/aws/exploring-aws-ebs-snapshots/
Możesz to zrobić za pomocą Pacu, używając modułu ebs__download_snapshots
Sprawdzanie snapshotu w AWS
Zamontuj go w maszynie EC2 pod Twoją kontrolą (musi być w tym samym regionie co kopia zapasowa):
Krok 1: Utwórz nowy wolumin o preferowanym rozmiarze i typie, przechodząc do EC2 –> Volumes.
Aby wykonać tę czynność, wykonaj następujące polecenia:
Utwórz wolumin EBS do podłączenia do instancji EC2.
Upewnij się, że wolumin EBS i instancja znajdują się w tej samej strefie.
Krok 2: Wybierz opcję "attach volume" klikając prawym przyciskiem myszy na utworzonym woluminie.
Krok 3: Wybierz instancję z pola tekstowego instancji.
Aby wykonać tę czynność, użyj następującego polecenia:
Podłącz wolumin EBS.
Krok 4: Zaloguj się do instancji EC2 i wylistuj dostępne dyski za pomocą polecenia lsblk
.
Krok 5: Sprawdź, czy wolumin zawiera dane, używając polecenia sudo file -s /dev/xvdf
.
Jeśli wynik powyższego polecenia pokazuje "/dev/xvdf: data", oznacza to, że wolumin jest pusty.
Krok 6: Sformatuj wolumin do systemu plików ext4 za pomocą polecenia sudo mkfs -t ext4 /dev/xvdf
. Alternatywnie, możesz użyć formatu xfs, używając polecenia sudo mkfs -t xfs /dev/xvdf
. Należy pamiętać, że powinieneś użyć albo ext4, albo xfs.
Krok 7: Utwórz katalog według własnego wyboru, aby zamontować nowy wolumin ext4. Na przykład, możesz użyć nazwy "newvolume".
Aby wykonać tę czynność, użyj polecenia sudo mkdir /newvolume
.
Krok 8: Zamontuj wolumin do katalogu "newvolume" za pomocą polecenia sudo mount /dev/xvdf /newvolume/
.
Krok 9: Zmień katalog na "newvolume" i sprawdź przestrzeń dyskową, aby zweryfikować montaż woluminu.
Aby wykonać tę czynność, użyj następujących poleceń:
Zmień katalog na
/newvolume
.Sprawdź przestrzeń dyskową za pomocą polecenia
df -h .
. Wynik tego polecenia powinien pokazać wolną przestrzeń w katalogu "newvolume".
Możesz to zrobić za pomocą Pacu, używając modułu ebs__explore_snapshots
.
Sprawdzanie snapshotu w AWS (używając cli)
Shadow Copy
Każdy użytkownik AWS posiadający uprawnienia EC2:CreateSnapshot
może ukraść hashe wszystkich użytkowników domeny, tworząc migawkę kontrolera domeny, montując ją do instancji, którą kontrolują, i eksportując pliki rejestru NTDS.dit i SYSTEM do użycia z projektem secretsdump Impacket.
Możesz użyć tego narzędzia do automatyzacji ataku: https://github.com/Static-Flow/CloudCopy lub możesz użyć jednej z poprzednich technik po utworzeniu migawki.
References
Ucz się i ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated