# AWS - CloudFront Post Exploitation

{{#include ../../../banners/hacktricks-training.md}}

## CloudFront

Pour plus d'informations, consultez :

{{#ref}}
../aws-services/aws-cloudfront-enum.md
{{#endref}}

### Man-in-the-Middle

Ce [**post de blog**](https://medium.com/@adan.alvarez/how-attackers-can-misuse-aws-cloudfront-access-to-make-it-rain-cookies-acf9ce87541c) propose quelques scénarios différents où une **Lambda** pourrait être ajoutée (ou modifiée si elle est déjà utilisée) dans une **communication via CloudFront** dans le but de **voler** des informations utilisateur (comme le **cookie** de session) et **modifier** la **réponse** (en injectant un script JS malveillant).

#### scénario 1 : MitM où CloudFront est configuré pour accéder à un HTML d'un bucket

- **Créer** la **fonction** malveillante.
- **L'associer** à la distribution CloudFront.
- Définir le **type d'événement sur "Viewer Response"**.

En accédant à la réponse, vous pourriez voler le cookie des utilisateurs et injecter un JS malveillant.

#### scénario 2 : MitM où CloudFront utilise déjà une fonction lambda

- **Modifier le code** de la fonction lambda pour voler des informations sensibles

Vous pouvez consulter le [**code tf pour recréer ces scénarios ici**](https://github.com/adanalvarez/AWS-Attack-Scenarios/tree/main).

{{#include ../../../banners/hacktricks-training.md}}
