☁️ Smogcloud

Finde exponierte AWS-Cloud-Assets, von denen du nicht wusstest, dass du sie hast. Eine umfassende Bestandsaufnahme der Assets ist der erste Schritt zu jedem leistungsfähigen Sicherheitsprogramm. Wir haben Smogcloud entwickelt, um Sicherheitsingenieuren, Penetrationstestern und AWS-Administratoren die Möglichkeit zu geben, die kollektiven Veränderungen, die dynamische und flüchtige internetzugängliche Assets schaffen, häufiger zu überwachen. Kann nützlich sein, um Folgendes zu identifizieren:

• Internetzugängliche FQDNs und IPs über ein oder Hunderte von AWS-Konten
• Fehlkonfigurationen oder Schwachstellen
• Assets, die nicht mehr genutzt werden
• Dienste, die derzeit nicht überwacht werden
• Schatten-IT

🛠 Erste Schritte

1. Installiere und richte Golang ein

2. Installiere Smogcloud mit dem folgenden Befehl

   root@kitploit:~

   go get -u github.com/BishopFox/smogcloud
   

3. Richte die AWS-Umgebungsvariable für das Konto ein, das du abfragen möchtest. Wir empfehlen die Verwendung einer schreibgeschützten Security Auditor-Rolle. Die folgenden Befehle können verwendet werden, um Umgebungsvariablen zu setzen:

   root@kitploit:~

   export AWS_ACCOUNT_ID=''            # Describe account
   export AWS_ACCESS_KEY_ID=''         # Access key for aws account
   export AWS_SECRET_ACCESS_KEY=''     # Secret key for aws account
   

4. Führe die Anwendung aus

   root@kitploit:~

   smogcloud
   

   oder

   root@kitploit:~

   go run main.go
   

🕵️ Aktuelle Dienste

Unterstützte Dienste zum Extrahieren von Internet-Expositionen:

* API Gateway
* CloudFront
* EC2
* Elastic Kubernetes Service
* Elastic Beanstalk
* Elastic Search
* Elastic Load Balancing
* IoT
* Lightsail
* MediaStore
* Relational Database Service
* Redshift
* Route53
* S3

🔎 AWS-Muster

Durch das Studium der Open-API-Dokumentation zu RESTful-AWS-Endpunkten haben wir festgestellt, dass dies die Muster von Expositions-URIs sind, die du in AWS-Konten finden kannst. Es ist wichtig zu verstehen, wie man mit diesen nativen Diensten interagiert, um sie auf Schwachstellen und andere Fehlkonfigurationen zu testen. Sicherheitsingenieure möchten möglicherweise Cloudtrail-Protokolle überwachen oder eine DNS-Überwachung für Anfragen an diese Dienste einrichten.

• s3
  • https://{user_provided}.s3.amazonaws.com
• cloudfront
  • https://{random_id}.cloudfront.net
• ec2
  • ec2-{ip-seperated}.compute-1.amazonaws.com
• es
  • https://{user_provided}-{random_id}.{region}.es.amazonaws.com
• elb
  • http://{user_provided}-{random_id}.{region}.elb.amazonaws.com:80
  • https://{user_provided}-{random_id}.{region}.elb.amazonaws.com:443
• elbv2
  • https://{user_provided}-{random_id}.{region}.elb.amazonaws.com
• rds
  • mysql://{user_provided}.{random_id}.{region}.rds.amazonaws.com:3306
  • postgres://{user_provided}.{random_id}.{region}.rds.amazonaws.com:5432
• route53
  • {user_provided}
• execute-api
  • https://{random_id}.execute-api.{region}.amazonaws.com/{user_provided}
• cloudsearch
  • https://doc-{user_provided}-{random_id}.{region}.cloudsearch.amazonaws.com
• transfer
  • sftp://s-{random_id}.server.transfer.{region}.amazonaws.com
• iot
  • mqtt://{random_id}.iot.{region}.amazonaws.com:8883
  • https://{random_id}.iot.{region}.amazonaws.com:8443
  • https://{random_id}.iot.{region}.amazonaws.com:443
• mq
  • https://b-{random_id}-{1,2}.mq.{region}.amazonaws.com:8162
  • ssl://b-{random_id}-{1,2}.mq.{region}.amazonaws.com:61617
• kafka
  • b-{1,2,3,4}.{user_provided}.{random_id}.c{1,2}.kafka.{region}.amazonaws.com
  • {user_provided}.{random_id}.c{1,2}.kafka.{region}.amazonaws.com
• cloud9
  • https://{random_id}.vfs.cloud9.{region}.amazonaws.com
• mediastore
  • https://{random_id}.data.mediastore.{region}.amazonaws.com
• kinesisvideo
  • https://{random_id}.kinesisvideo.{region}.amazonaws.com
• mediaconvert
  • https://{random_id}.mediaconvert.{region}.amazonaws.com
• mediapackage
  • https://{random_id}.mediapackage.{region}.amazonaws.com/in/v1/{random_id}/channel

📌 Referenzen

• AWS SDK Go
• API-guru Open API for AWS
• aws-cli

👨‍💻 Autoren

• Oscar Salazar - Initialarbeit - Bishop Fox
• Rob Ragan - Initialarbeit - Bishop Fox 🐦 @sweepthatleg
• Brandon Gaudet - Initialarbeit - Bishop Fox

✨ Beiträge

Wir geben unser Bestes, um unsere Tools zu pflegen, können sie aber nicht immer so aktuell halten, wie wir es gerne hätten. Daher schätzen wir jederzeit Code-Beiträge, Feature-Anfragen und Fehlerberichte.

📣 Danksagungen

Danke für die Inspiration

• Cloudmapper
• AWS Public IPs
• John Backes & Tiros
• IAM Access Analyzer
• Cartography

📄 Lizenz

Smogcloud ist unter GPLv3 lizenziert, einige Unterkomponenten haben separate Lizenzen.