AWS - Relational Database (RDS) Enum

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

Check the subscription plans!
Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Informações Básicas

O Relational Database Service (RDS) oferecido pela AWS é projetado para simplificar a implantação, operação e escalabilidade de um banco de dados relacional na nuvem. Este serviço oferece as vantagens de eficiência de custos e escalabilidade, enquanto automatiza tarefas trabalhosas como provisionamento de hardware, configuração de banco de dados, aplicação de patches e backups.

O AWS RDS suporta vários motores de banco de dados relacionais amplamente utilizados, incluindo MySQL, PostgreSQL, MariaDB, Oracle Database, Microsoft SQL Server e Amazon Aurora, com compatibilidade para MySQL e PostgreSQL.

Características principais do RDS incluem:

Gerenciamento de instâncias de banco de dados é simplificado.
Criação de réplicas de leitura para melhorar o desempenho de leitura.
Configuração de implantações em várias Zonas de Disponibilidade (AZ) para garantir alta disponibilidade e mecanismos de failover.
Integração com outros serviços da AWS, como:
AWS Identity and Access Management (IAM) para controle de acesso robusto.
AWS CloudWatch para monitoramento e métricas abrangentes.
AWS Key Management Service (KMS) para garantir criptografia em repouso.

Credenciais

Ao criar o cluster de DB, o nome de usuário mestre pode ser configurado (admin por padrão). Para gerar a senha deste usuário, você pode:

Indicar uma senha você mesmo
Dizer ao RDS para gerá-la automaticamente
Dizer ao RDS para gerenciá-la no AWS Secret Manager criptografado com uma chave KMS

Autenticação

Existem 3 tipos de opções de autenticação, mas usar a senha mestre é sempre permitido:

Acesso Público & VPC

Por padrão, nenhum acesso público é concedido aos bancos de dados, no entanto, poderia ser concedido. Portanto, por padrão, apenas máquinas do mesmo VPC poderão acessá-lo se o grupo de segurança selecionado (armazenado no EC2 SG) permitir.

Em vez de expor uma instância de DB, é possível criar um RDS Proxy que melhora a escalabilidade e a disponibilidade do cluster de DB.

Além disso, a porta do banco de dados pode ser modificada também.

Criptografia

A criptografia é habilitada por padrão usando uma chave gerenciada pela AWS (uma CMK poderia ser escolhida em vez disso).

Ao habilitar sua criptografia, você está habilitando a criptografia em repouso para seu armazenamento, snapshots, réplicas de leitura e seus backups. As chaves para gerenciar essa criptografia podem ser emitidas usando KMS. Não é possível adicionar esse nível de criptografia após a criação do banco de dados. Isso deve ser feito durante sua criação.

No entanto, existe uma solução alternativa que permite criptografar um banco de dados não criptografado da seguinte forma. Você pode criar um snapshot do seu banco de dados não criptografado, criar uma cópia criptografada desse snapshot, usar esse snapshot criptografado para criar um novo banco de dados e, finalmente, seu banco de dados estará criptografado.

Transparent Data Encryption (TDE)

Além das capacidades de criptografia inerentes ao RDS no nível da aplicação, o RDS também suporta mecanismos adicionais de criptografia no nível da plataforma para proteger dados em repouso. Isso inclui Transparent Data Encryption (TDE) para Oracle e SQL Server. No entanto, é crucial notar que, embora o TDE aumente a segurança ao criptografar dados em repouso, ele também pode afetar o desempenho do banco de dados. Esse impacto no desempenho é especialmente perceptível quando usado em conjunto com funções criptográficas do MySQL ou funções criptográficas do Microsoft Transact-SQL.

Para utilizar o TDE, alguns passos preliminares são necessários:

Associação ao Grupo de Opções:

O banco de dados deve ser associado a um grupo de opções. Grupos de opções servem como contêineres para configurações e recursos, facilitando o gerenciamento do banco de dados, incluindo melhorias de segurança.
No entanto, é importante notar que grupos de opções estão disponíveis apenas para motores de banco de dados e versões específicas.

Inclusão do TDE no Grupo de Opções:

Uma vez associado a um grupo de opções, a opção Oracle Transparent Data Encryption precisa ser incluída nesse grupo.
É essencial reconhecer que, uma vez adicionada a opção TDE a um grupo de opções, ela se torna uma característica permanente e não pode ser removida.

Modos de Criptografia TDE:

O TDE oferece dois modos distintos de criptografia:
Criptografia de Tablespace TDE: Este modo criptografa tabelas inteiras, proporcionando um escopo mais amplo de proteção de dados.
Criptografia de Coluna TDE: Este modo foca na criptografia de elementos específicos e individuais dentro do banco de dados, permitindo um controle mais granular sobre quais dados são criptografados.

Compreender esses pré-requisitos e as complexidades operacionais do TDE é crucial para implementar e gerenciar efetivamente a criptografia dentro do RDS, garantindo tanto a segurança dos dados quanto a conformidade com os padrões necessários.

Enumeração

# Clusters info
## Get Endpoints, username, port, iam auth enabled, attached roles, SG
aws rds describe-db-clusters
aws rds describe-db-cluster-endpoints #Cluster URLs
aws rds describe-db-cluster-backtracks --db-cluster-identifier <cluster-name>

## Cluster snapshots
aws rds describe-db-cluster-snapshots

# Get DB instances info
aws rds describe-db-instances #username, url, port, vpc, SG, is public?
aws rds describe-db-security-groups

## Find automated backups
aws rds describe-db-instance-automated-backups

## Find snapshots
aws rds describe-db-snapshots
aws rds describe-db-snapshots --include-public --snapshot-type public
## Restore snapshot as new instance
aws rds restore-db-instance-from-db-snapshot --db-instance-identifier <ID> --db-snapshot-identifier <ID> --availability-zone us-west-2a

# Any public snapshot in the account
aws rds describe-db-snapshots --snapshot-type public

# Proxies
aws rds describe-db-proxy-endpoints
aws rds describe-db-proxy-target-groups
aws rds describe-db-proxy-targets

## reset credentials of MasterUsername
aws rds modify-db-instance --db-instance-identifier <ID> --master-user-password <NewPassword> --apply-immediately