# AWS - CloudFront Post Exploitation

{{#include ../../../../banners/hacktricks-training.md}}

## CloudFront

For more information check:

{{#ref}}
../../aws-services/aws-cloudfront-enum.md
{{#endref}}

### `cloudfront:Delete*`
cloudfront:Delete* が付与された攻撃者は、distributions、policies、その他の重要なCDN設定オブジェクト（例: distributions、cache/origin policies、key groups、origin access identities、functions/configs、および関連リソース）を削除できます。これにより、サービス停止、コンテンツの損失、設定やフォレンジックアーティファクトの消失が発生する可能性があります。

To delete a distribution an attacker could use:
```bash
aws cloudfront delete-distribution \
--id <DISTRIBUTION_ID> \
--if-match <ETAG>
```
### Man-in-the-Middle

This [**blog post**](https://medium.com/@adan.alvarez/how-attackers-can-misuse-aws-cloudfront-access-to-make-it-rain-cookies-acf9ce87541c) は、**Lambda**を（既に使用されている場合は変更する形で）**CloudFront**経由の**通信**に追加し、ユーザ情報（セッションの**cookie**など）を**盗み**、**レスポンス**を**改変**（悪意あるJSスクリプトを注入）することを目的としたいくつかのシナリオを提案しています。

#### シナリオ1: MitM where CloudFront is configured to access some HTML of a bucket

- **悪意ある** **function**を**作成**する。
- それをCloudFrontのdistributionに**関連付ける**。
- **イベントタイプを "Viewer Response" に設定**する。

レスポンスにアクセスすることで、ユーザのcookieを盗み、悪意あるJSを注入できます。

#### シナリオ2: MitM where CloudFront is already using a lambda function

- Lambda functionのコードを**修正**して機密情報を盗む。

詳細は[**tf code to recreate this scenarios here**](https://github.com/adanalvarez/AWS-Attack-Scenarios/tree/main)を確認してください。

{{#include ../../../../banners/hacktricks-training.md}}
