# AWS - CloudFront Post Exploitation

{{#include ../../../../banners/hacktricks-training.md}}

## CloudFront

Vir meer inligting sien:

{{#ref}}
../../aws-services/aws-cloudfront-enum.md
{{#endref}}

### `cloudfront:Delete*`
Aanvaller met cloudfront:Delete* toestemming kan distributions, policies en ander kritieke CDN-konfigurasie-objekte verwyder — byvoorbeeld distributions, cache/origin policies, key groups, origin access identities, functions/configs, en verwante resources. Dit kan diensonderbreking, inhoudsverlies en verwydering van konfigurasie- of forensiese artefakte veroorsaak.

Om 'n distribution te verwyder, kan 'n aanvaller die volgende gebruik:
```bash
aws cloudfront delete-distribution \
--id <DISTRIBUTION_ID> \
--if-match <ETAG>
```
### Man-in-the-Middle

Hierdie [**blog post**](https://medium.com/@adan.alvarez/how-attackers-can-misuse-aws-cloudfront-access-to-make-it-rain-cookies-acf9ce87541c) stel 'n paar verskillende scenario's voor waar 'n **Lambda** bygevoeg kan word (of gewysig indien dit reeds gebruik word) in 'n kommunikasie deur CloudFront met die doel om **gebruikersinligting te steel** (soos die sessie **cookie**) en die **response** te **wysig** (deur 'n skadelike JS-skrip in te voeg).

#### scenario 1: MitM where CloudFront is configured to access some HTML of a bucket

- **Skep** die kwaadwillige **function**.
- **Koppel** dit aan die CloudFront distribution.
- **Stel die event type op "Viewer Response"**.

Deur toegang tot die response te kry, kan jy die gebruiker se cookie steel en 'n skadelike JS-skrip invoeg.

#### scenario 2: MitM where CloudFront is already using a lambda function

- **Wysig die code** van die Lambda function om sensitiewe inligting te steel

Jy kan die [**tf code to recreate this scenarios here**](https://github.com/adanalvarez/AWS-Attack-Scenarios/tree/main) nagaan.

{{#include ../../../../banners/hacktricks-training.md}}
