# AWS - Cognito Persistensie

{{#include ../../../../banners/hacktricks-training.md}}

## Cognito

Vir meer inligting, besoek:

{{#ref}}
../../aws-services/aws-cognito-enum/
{{#endref}}

### Gebruikerpersistensie

Cognito is 'n diens wat dit toelaat om rolle aan ongeverifieerde en geverifieerde gebruikers toe te ken en 'n gids van gebruikers te beheer. Verskeie verskillende konfigurasies kan verander word om 'n mate van persistensie te behou, soos:

- **Voeg 'n User Pool by** wat deur die gebruiker beheer word aan 'n Identity Pool
- **Ken 'n IAM role aan 'n unauthenticated Identity Pool en staan Basic auth flow toe**
- Of na 'n **authenticated Identity Pool** as die aanvaller kan login
- Of **verbeter die permissions** van die gegewe rolle
- **Create, verify & privesc** deur gebruikers wat deur attributes beheer word of deur nuwe gebruikers in 'n **User Pool**
- **Sta external Identity Providers toe** om in 'n User Pool of in 'n Identity Pool te login

Sien hoe om hierdie aksies uit te voer in

{{#ref}}
../../aws-privilege-escalation/aws-cognito-privesc/README.md
{{#endref}}

### `cognito-idp:SetRiskConfiguration`

'N aanvaller met hierdie reg kan die risk configuration wysig om as 'n Cognito-gebruiker te kan login **sonder dat alarms geaktiveer word**. [**Check out the cli**](https://docs.aws.amazon.com/cli/latest/reference/cognito-idp/set-risk-configuration.html) om al die opsies te kontroleer:
```bash
aws cognito-idp set-risk-configuration --user-pool-id <pool-id> --compromised-credentials-risk-configuration EventFilter=SIGN_UP,Actions={EventAction=NO_ACTION}
```
Standaard is dit gedeaktiveer:

<figure><img src="https://lh6.googleusercontent.com/EOiM0EVuEgZDfW3rOJHLQjd09-KmvraCMssjZYpY9sVha6NcxwUjStrLbZxAT3D3j9y08kd5oobvW8a2fLUVROyhkHaB1OPhd7X6gJW3AEQtlZM62q41uYJjTY1EJ0iQg6Orr1O7yZ798EpIJ87og4Tbzw=s2048" alt=""><figcaption></figcaption></figure>

{{#include ../../../../banners/hacktricks-training.md}}
