🦊 CloudFox 🦊

CloudFox vous aide à acquérir une conscience situationnelle dans des environnements cloud inconnus. C'est un outil en ligne de commande open source créé pour aider les testeurs d'intrusion et autres professionnels de la sécurité offensive à trouver des chemins d'attaque exploitables dans l'infrastructure cloud.

MISE À JOUR CLOUDFOX REQUISE : (12/2025) : Si vous utilisez cloudfox, vous devez utiliser la version v1.17.0 ou ultérieure. Toutes les versions antérieures ont cessé de fonctionner après un changement de format dans le fichier de mappage des services publics d'AWS.

Aperçu

CloudFox vous aide à répondre aux questions courantes suivantes (et bien d'autres) :

Quelles régions ce compte AWS utilise-t-il et combien de ressources y a-t-il approximativement dans le compte ?
Quels secrets se cachent dans les userdata EC2 ou les variables d'environnement spécifiques aux services ?
Quelles charges de travail ont des permissions administratives attachées ?
Quelles actions/permissions ce [principal] possède-t-il ?
Quelles confiances de rôle sont trop permissives ou permettent l'assomption inter-compte ?
Quels endpoints/noms d'hôte/IPs puis-je attaquer depuis un point de départ externe (internet public) ?
Quels endpoints/noms d'hôte/IPs puis-je attaquer depuis un point de départ interne (brèche supposée dans le VPC) ?
Quels systèmes de fichiers puis-je potentiellement monter depuis une ressource compromise à l'intérieur du VPC ?

Démonstrations, Exemples, Ateliers

Environnement d'entraînement intentionnellement vulnérable

CloudFoxable - Un bac à sable gamifié de piratage cloud

Envie de discuter de CloudFox ?

Rejoignez-nous sur le serveur discord RedSec

Démarrage rapide

CloudFox est modulaire (vous pouvez exécuter une commande à la fois), mais il existe une commande aws all-checks qui exécutera les autres commandes aws pour vous avec des valeurs par défaut raisonnables :

cloudfox aws --profile [profile-name] all-checks

Énumération en boîte blanche

CloudFox a été conçu pour être exécuté par un principal disposant de permissions limitées en lecture seule, mais son but est de vous aider à trouver des chemins d'attaque pouvant être exploités dans des scénarios de compromission simulés (alias, test d'intrusion basé sur des objectifs).

Énumération en boîte noire

CloudFox peut être utilisé avec des identifiants « trouvés », de la même manière que vous utiliseriez weirdAAL ou enumerate-iam. Les vérifications qui échouent le font silencieusement, donc toute donnée renvoyée signifie que vos identifiants « trouvés » disposent de l'accès nécessaire pour la récupérer.

Documentation

Pour la documentation complète, veuillez vous référer à notre wiki.

Fournisseurs cloud pris en charge

Fournisseur	Commandes CloudFox
AWS	34
Azure	4
GCP	60
Kubernetes	Support prévu

Installation

Option 1 : Téléchargez la dernière version binaire pour votre plateforme.

Option 2 : Si vous utilisez homebrew : brew install cloudfox

Option 3 : Installez Go, utilisez go install github.com/BishopFox/cloudfox@latest pour installer depuis la source distante

Option 4 : Mode développeur :

Installez Go, clonez le dépôt CloudFox et compilez à partir des sources ```

git clone https://github.com/BishopFox/cloudfox.git

cd ./cloudfox

Make any changes necessary

go build .

./cloudfox

**Option 5:** Tester une correction de bogue  ```
git clone [email protected]:BishopFox/cloudfox.git
git checkout seth-dev 
go build .
./cloudfox [rest of the command options]

Prérequis

AWS

AWS CLI installé
Prend en charge les profils AWS, les variables d’environnement AWS ou la récupération de métadonnées (sur une instance EC2)
- Pour exécuter des commandes sur plusieurs profils à la fois, vous pouvez spécifier le chemin d’un fichier contenant une liste de noms de profils séparés par une nouvelle ligne à l’aide du drapeau -l, ou passer tous les profils stockés avec le drapeau -a.
Un principal avec au moins une politique recommandée attachée (décrite ci-dessous)
Politiques recommandées attachées : SecurityAudit + Politique personnalisée CloudFox

Notes supplémentaires sur les politiques (au 09/2022) :

Politique	Remarques
Politique personnalisée CloudFox	Contient une liste complète de toutes les autorisations utilisées par CloudFox et rien d’autre
`arn:aws:iam::aws:policy/SecurityAudit`	Couvre la plupart des vérifications CloudFox mais manque de nouveaux services ou autorisations comme apprunner:, grafana:, lambda:GetFunctionURL, lightsail:GetContainerServices
`arn:aws:iam::aws:policy/job-function/ViewOnlyAccess`	Couvre la plupart des vérifications CloudFox mais manque de nouveaux services ou autorisations comme AppRunner:, grafana:, lambda:GetFunctionURL, lightsail:GetContainerServices – et manque également iam:SimulatePrincipalPolicy.
`arn:aws:iam::aws:policy/ReadOnlyAccess`	Ne manque que AppRunner, mais accorde également des choses comme "s3:Get*" qui peuvent être trop permissives.
`arn:aws:iam::aws:policy/AdministratorAccess`	Fonctionnera parfaitement avec CloudFox, mais si vous avez reçu ce niveau d’accès en tant que testeur d’intrusion, cela devrait probablement être une constatation en soi :)

Azure

Autorisations de type Viewer ou similaires appliquées.

GCP

Google Cloud SDK installé et authentifié
Identifiants par défaut de l’application configurés (gcloud auth application-default login)
Autorisations recommandées aux niveaux hiérarchiques appropriés (voir ci-dessous)

Autorisations GCP : Minimales vs Complètes

Autorisations minimales (projet unique) :

Pour une énumération de base d’un seul projet, le rôle roles/viewer fournit un accès en lecture à la plupart des ressources (inclut la journalisation, la surveillance et la visualisation du calcul/réseau).

Autorisations complètes (à l’échelle de l’organisation) :

Pour des évaluations de sécurité approfondies dans toute une organisation :

cloudfox

Populaires