Encore une fois, si les applications exécutées sur votre instance EC2 utilisent le service IMDS, cet outil causera des problèmes!

Essayez-le

Pour essayer IMDSPOOF dans un environnement de test, créez une instance EC2 et assurez-vous qu'iptables est installé (yum install iptables-services si vous utilisez Amazon Linux)

• Compilez et exécutez IMDS.go (Comment compiler du code Go)
• Pour tester l'apparence du résultat, exécutez curl http://169.254.169.254/latest/meta-data/iam/security-credentials/ec2-admin
• Vous devriez voir le résultat suivant:

• Pour annuler les modifications de la commande IPtables précédente, exécutez la commande suivante : iptables -t nat -D OUTPUT -p tcp -d 169.254.169.254 --dport 80 -j DNAT --to-destination 127.0.0.1:54321

Personnalisation

Pour que cela soit utile, vous devez modifier les variables en haut du fichier IMDS.go pour qu'elles paraissent plus réalistes. Je recommande fortement de placer des honey tokens (jetons factices) dans le fichier. Vous pouvez laisser la variable token telle quelle ou la modifier par une personnalisée.

• Modifiez ces variables en haut de IMDS.go pour obtenir ce que vous voulez comme résultat lors de l'accès à http://169.254.169.254/latest/meta-data/iam/security-credentials/ec2-admin

Obtenir des HoneyTokens

Les gens de Thinkst Canary ont un excellent outil qui vous permet de générer facilement des identifiants AWS qui déclencheront une alerte en cas d'utilisation.

1. Rendez-vous sur CanaryTokens
2. Sélectionnez AWS Keys, saisissez un email pour recevoir l'alerte et une note pour décrire l'alerte

3. Notez le honeytoken fourni

4. Dans le code source de IMDS.go, remplacez les variables accessKey et secretAccessKey par les valeurs aws_access_key_id et aws_secret_access_key que vous a données CanaryTokens.

5. Compilez IMDS.go. IMDS renverra désormais les honey tokens lorsque l'IMDS sera interrogée.

6. Attendez qu'un attaquant tente d'utiliser les identifiants

8. Alerte email de Canary Token

Exécution au démarrage

Exécuter IMDSpoof au démarrage peut se faire facilement en créant un service systemd et en activant ce service.

• Créez un fichier de service : sudo vim /etc/systemd/system/IMDS.service (vous pouvez le nommer autrement, plus discret, si vous le souhaitez, mais les commandes systemctl suivantes s'attendent à ce que le service s'appelle IMDS.service)
• Ajoutez le contenu suivant au fichier IMDS.service que vous venez de créer

• Assurez-vous que le binaire IMDS se trouve dans le répertoire /bin/ : sudo mv IMDS /bin/
• Activez le service pour qu'il démarre au boot : sudo systemctl enable IMDS
• Démarrez le service maintenant : sudo systemctl start IMDS
• Assurez-vous que tout fonctionne correctement avec sudo systemctl status IMDS

Cela fonctionne-t-il avec les SSRF ?

Oui ! Grâce à la manière dont IMDSpoof manipule iptables sur l'instance EC2, peu importe d'où vient le trafic. Cela signifie qu'en plus de fonctionner via l'utilitaire curl sur l'instance EC2, IMDSpoof fonctionne également si une vulnérabilité SSRF est découverte via une application web hébergée sur l'instance EC2. En utilisant l'application vulnérable du blog d'AlexanderHose sur le test d'intrusion IMDS, nous pouvons exploiter la vulnérabilité SSRF qui renverra également les faux identifiants d'IMDSpoof

Annulation

• Pour arrêter le service systemd : sudo systemctl stop IMDS
• Pour empêcher le service systemd de s'exécuter au démarrage : sudo systemctl disable IMDS
• Pour annuler les modifications qu'IMDSPOOF apporte à iptables, exécutez la commande suivante : iptables -t nat -D OUTPUT -p tcp -d 169.254.169.254 --dport 80 -j DNAT --to-destination 127.0.0.1:54321