hacktricks-cloud/src/pentesting-cloud/aws-security/aws-persistence/aws-ssm-persistence/README.md

AWS - SSM 永続化

{{#include ../../../../banners/hacktricks-training.md}}

SSM

詳細は以下を参照してください：

{{#ref}} ../../aws-services/aws-ec2-ebs-elb-ssm-vpc-and-vpn-enum/README.md {{#endref}}

ssm:CreateAssociation を使用した永続化

権限 ssm:CreateAssociation を持つ攻撃者は、State Manager Association を作成して、SSM によって管理されている EC2 インスタンス上でコマンドを自動実行できます。これらの Association は固定間隔で実行するように設定でき、対話型セッションを必要としないバックドア的な永続化に適しています。

aws ssm create-association \
--name SSM-Document-Name \
--targets Key=InstanceIds,Values=target-instance-id \
--parameters commands=["malicious-command"] \
--schedule-expression "rate(30 minutes)" \
--association-name association-name

Note

この永続化手法は、EC2 インスタンスが Systems Manager によって管理されており、SSM エージェントが稼働していて、攻撃者に associations を作成する権限がある限り機能します。対話型セッションや明示的な ssm:SendCommand 権限は必要ありません。 重要: --schedule-expression パラメータ（例: rate(30 minutes)）は AWS の最小間隔 30 分を遵守する必要があります。即時または一度だけ実行する場合は、--schedule-expression を完全に省略してください — association は作成後に1回実行されます。

{{#include ../../../../banners/hacktricks-training.md}}