🦊 CloudFox 🦊

CloudFox hilft Ihnen, sich in unbekannten Cloud-Umgebungen einen Überblick zu verschaffen. Es ist ein Open-Source-Befehlszeilentool, das entwickelt wurde, um Penetrationstestern und anderen Offensive-Security-Profis zu helfen, ausnutzbare Angriffspfade in der Cloud-Infrastruktur zu finden.

CLOUDFOX AKTUALISIERUNG ERFORDERLICH: (12/2025): Wenn Sie cloudfox verwenden, müssen Sie v1.17.0 oder höher nutzen. Alle früheren Versionen funktionieren nach einer Formatänderung in AWS' öffentlicher Dienstzuordnungsdatei nicht mehr.

Übersicht

CloudFox hilft Ihnen, die folgenden häufigen Fragen (und viele weitere) zu beantworten:

• Welche Regionen nutzt dieses AWS-Konto und wie viele Ressourcen sind ungefähr im Konto vorhanden?
• Welche Geheimnisse lauern in EC2-Benutzerdaten oder dienstspezifischen Umgebungsvariablen?
• Welche Arbeitslasten haben administrative Berechtigungen?
• Welche Aktionen/Berechtigungen hat dieser [Prinzipal]?
• Welche Rollenvertrauensstellungen sind zu freizügig oder erlauben kontenübergreifende Übernahmen?
• Welche Endpunkte/Hostnamen/IPs kann ich von einem externen Ausgangspunkt (öffentliches Internet) aus angreifen?
• Welche Endpunkte/Hostnamen/IPs kann ich von einem internen Ausgangspunkt (angenommener Einbruch innerhalb des VPC) aus angreifen?
• Welche Dateisysteme kann ich möglicherweise von einer kompromittierten Ressource innerhalb des VPC aus mounten?

Demos, Beispiele, Anleitungen

• Blog - Einführung: CloudFox
• Video - CloudFox + CloudFoxable: Ein mächtiges Duo zur Meisterung der Kunst der Identifizierung und Ausnutzung von AWS-Angriffspfaden
• Video - Penetrationstests mit CloudFox
• Video - CloudFox Einführungsdemos
• Video - Tool Talk: CloudFox AWS Unterbefehls-Walkthroughs

Absichtlich verwundbarer Spielplatz

• CloudFoxable - Eine gamifizierte Cloud-Hacking-Sandbox

Möchten Sie über CloudFox chatten?

Treten Sie unserem RedSec Discord Server bei.

Schnellstart

CloudFox ist modular (Sie können jeweils einen Befehl ausführen), aber es gibt einen Befehl aws all-checks, der die anderen AWS-Befehle für Sie mit vernünftigen Standardeinstellungen ausführt:

cloudfox aws --profile [profile-name] all-checks

White-Box-Enumeration

CloudFox wurde entwickelt, um von einem Prinzipal mit eingeschränkten Nur-Lese-Berechtigungen ausgeführt zu werden, aber sein Zweck ist es, Ihnen zu helfen, Angriffspfade zu finden, die in simulierten Kompromittierungsszenarien (auch als objektbasiertes Penetrationstest) ausgenutzt werden können.

Black-Box-Enumeration

CloudFox kann mit "gefundenen" Anmeldedaten verwendet werden, ähnlich wie Sie weirdAAL oder enumerate-iam verwenden würden. Fehlschlagende Prüfungen werden stillschweigend durchgeführt, sodass alle zurückgegebenen Daten bedeuten, dass Ihre "gefundenen" Anmeldedaten den erforderlichen Zugriff zum Abrufen haben.

Dokumentation

Die vollständige Dokumentation finden Sie in unserem Wiki.

Unterstützte Cloud-Anbieter

Anbieter	CloudFox-Befehle
AWS	34
Azure	4
GCP	60
Kubernetes	Unterstützung geplant

Installation

Option 1: Laden Sie die neueste binäre Version für Ihre Plattform herunter.

Option 2: Wenn Sie Homebrew verwenden: brew install cloudfox

Option 3: Installieren Sie Go, verwenden Sie go install github.com/BishopFox/cloudfox@latest, um aus der entfernten Quelle zu installieren

Option 4: Entwicklermodus:

Installieren Sie Go, klonen Sie das CloudFox-Repository und kompilieren Sie aus dem Quellcode ```

git clone https://github.com/BishopFox/cloudfox.git

cd ./cloudfox

Make any changes necessary

go build .

./cloudfox

**Option 5:** Testen eines Bugfixes  ```
git clone [email protected]:BishopFox/cloudfox.git
git checkout seth-dev 
go build .
./cloudfox [rest of the command options]

Voraussetzungen

AWS

• AWS CLI installiert
• Unterstützt AWS-Profile, AWS-Umgebungsvariablen oder Metadatenabruf (auf einer EC2-Instanz)
  • Um Befehle auf mehreren Profilen gleichzeitig auszuführen, können Sie den Pfad zu einer Datei mit einer Liste von Profilnamen (durch eine neue Zeile getrennt) mit dem Flag -l angeben oder alle gespeicherten Profile mit dem Flag -a übergeben.
• Ein Prinzipal mit einer empfohlenen angehängten Richtlinie (unten beschrieben)
• Empfohlene angehängte Richtlinien: SecurityAudit + CloudFox benutzerdefinierte Richtlinie

Zusätzliche Richtlinienhinweise (Stand 09/2022):

Richtlinie	Hinweise
CloudFox benutzerdefinierte Richtlinie	Enthält eine vollständige Liste aller Berechtigungen, die CloudFox verwendet, und sonst nichts
arn:aws:iam::aws:policy/SecurityAudit	Deckt die meisten CloudFox-Prüfungen ab, vermisst jedoch neuere Dienste oder Berechtigungen wie apprunner:*, grafana:*, lambda:GetFunctionURL, lightsail:GetContainerServices
arn:aws:iam::aws:policy/job-function/ViewOnlyAccess	Deckt die meisten CloudFox-Prüfungen ab, vermisst jedoch neuere Dienste oder Berechtigungen wie AppRunner:*, grafana:*, lambda:GetFunctionURL, lightsail:GetContainerServices – und vermisst auch iam:SimulatePrincipalPolicy.
arn:aws:iam::aws:policy/ReadOnlyAccess	Fehlt nur AppRunner, gewährt aber auch Dinge wie "s3:Get*", was zu weitreichend sein kann.
arn:aws:iam::aws:policy/AdministratorAccess	Funktioniert einwandfrei mit CloudFox, aber wenn Sie als Penetrationstester diese Zugriffsstufe erhalten haben, sollte das wahrscheinlich ein eigener Fund sein :)

Azure

• Viewer oder ähnliche Berechtigungen angewendet.

GCP

• Google Cloud SDK installiert und authentifiziert
• Anwendungsstandard-Anmeldedaten konfiguriert (gcloud auth application-default login)
• Empfohlene Berechtigungen auf geeigneten Hierarchieebenen (siehe unten)

GCP-Berechtigungen: Minimal vs. Umfassend

Minimale Berechtigungen (Einzelprojekt):

Für die grundlegende Aufzählung eines einzelnen Projekts bietet die Rolle roles/viewer Lesezugriff auf die meisten Ressourcen (einschließlich Logging, Monitoring und Compute-/Netzwerk-Anzeige).

Umfassende Berechtigungen (Organisationsweit):

Für gründliche Sicherheitsbewertungen in einer gesamten Organisation: