文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

红队视角出发的k8s敏感信息收集——云原生集成与元数据滥用

云供应商 Metadata API 攻击场景目标：通过访问云平台元数据服务（如 AWS IMDSv1）窃取 IAM 角色凭证，横向渗透至云环境（如 S3 存储桶、EC2 实例）。...这些凭证可以用于访问云供应商提供的各种服务，如S3存储桶、EC2实例等。以下是如何执行这一过程的具体步骤。首先，您需要获取当前实例（或Pod）所关联的IAM角色名称。...，如列出S3存储桶或下载敏感文件，是一种常见的攻击手段。...一旦设置了必要的环境变量，就可以使用AWS CLI命令来列出可用的S3存储桶：aws s3 ls此命令将显示当前账户有权访问的所有S3存储桶列表。...创建后门实例使用从元数据服务获取的临时凭证并通过AWS CLI创建新的EC2实例，可以被攻击者利用来在目标云环境中建立后门。以下是如何执行这一操作的具体命令示例及其解释。

89200
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    Pacu工具牛刀小试之基础篇

    2018年6月19日，UpGuard网络风险小组某分析师发现了一个名为abbottgodaddy的公众可读取的亚马逊S3存储桶。...上创建了相应的存储桶，并在IAM上设置了对应的IAM管理用户Test以及EC2和S3的管理用户Tory，以供演示Pacu工具可以获取到信息。...关于AWS的部分介绍 ✚ ● ○ AWS IAM----提供用户设置以及授权 AWS EC2----提供云服务器 AWS S3----提供网盘 IAM所创建的用户，是用于控制EC2服务以及S3服务，可具体至服务中的一些权限控制...，可单一对EC2服务或者S3服务，也可同时对两个服务进行操作。...为了获取EC2的信息，直接使用枚举类的功能模块： ec2__enum 操作之前，如果我们忘记了如何使用该模块，也没关系，可以利用Help进行获取相关信息。 ?

    3.3K40

    Bit ByBit -朝鲜最大的加密货币盗窃案

    在此期间攻击者的行为可能包括枚举IAM角色、S3存储桶和其他云资产 2025年2月17日–AWS指挥与控制活动 确认在AWS中观察到C2流量,这标志着从被动侦察到主动发动攻击的转变 2025年2月19日...虽然确切的失败原因尚不清楚，但这种行为需要对与会话绑定操作相关的IAM策略和身份验证上下文进行更深入的调查。 S3资产枚举 在获取凭据后，攻击者可能枚举了可访问的AWS服务。...在这种情况下亚马逊S3是一个明确的目标。攻击者会列出所有地区受感染身份可用的存储桶，并找到与Safe｛Wallet｝关联的面向公众的存储桶。...他们使用AWS CLI和临时凭据列出了S3存储桶，并修改了托管在公共S3存储桶上的静态前端JavaScript。...使用CI/CD部署边界限制上传访问：开发人员永远不应该对生产S3存储桶有直接的写访问权限。使用单独的AWS帐户或IAM角色进行开发和CI/CD部署。

    18010

    怎么在云中实现最小权限?

    、亚洲和南太平洋地区的军事行动，它配置了三个AWS S3云存储桶，允许任何经过AWS全球认证的用户浏览和下载内容，而这种类型的AWS帐户可以通过免费注册获得。...身份和访问管理(IAM)控件拥有2,500多个权限(并且还在不断增加)，它使用户可以对在AWS云平台中的给定资源上执行哪些操作进行细粒度控制。...(1)单个应用程序–单一角色：应用程序使用具有不同托管和内联策略的角色，授予访问Amazon ElastiCache、RDS、DynamoDB和S3服务的特权。如何知道实际使用了哪些权限?...因此，要获得最小权限，正确的操作将是角色拆分，而不是简单地调整角色大小。在这种情况下，作为第二步，将在角色拆分之后进行角色权限调整。...如果权限更高的角色有权访问Amazon ElastiCache、RDS、DynamoDB和S3等各种服务，那么如何知道原始应用程序实际上正在使用哪些服务?

    1.9K00

    避免顶级云访问风险的7个步骤

    不幸的是，Web应用程序防火墙(WAF)被赋予了过多的权限，也就是说，网络攻击者可以访问任何数据桶中的所有文件，并读取这些文件的内容。这使得网络攻击者能够访问存储敏感数据的S3存储桶。...为了说明这个过程如何在云平台中工作，以主流的AWS云平台为例，并且提供可用的细粒度身份和访问管理(IAM)系统之一。...AWS身份和访问管理(IAM)是一个功能强大的工具，它允许管理员安全地配置超过2500个权限，以实现对给定资源可以执行哪些操作的细粒度进行控制。 ?...步骤3：映射身份和访问管理(IAM)角色 现在，所有附加到用户的身份和访问管理(IAM)角色都需要映射。角色是另一种类型的标识，可以使用授予特定权限的关联策略在组织的AWS帐户中创建。...步骤4：调查基于资源的策略 接下来，这一步骤的重点从用户策略转移到附加到资源(例如AWS存储桶)的策略。这些策略可以授予用户直接对存储桶执行操作的权限，而与现有的其他策略(直接和间接)无关。

    1.7K10

    浅谈云上攻防——Web应用托管服务中的元数据安全隐患

    存储桶的操作权限之后，可以进行如下的攻击行为，对用户资产进行破坏。...获取用户源代码 在获取elasticbeanstalk-region-account-id存储桶的控制权后，攻击者可以递归下载资源来获取用户Web应用源代码以及日志文件，具体操作如下： aws s3 cp...攻击者编写webshell文件并将其打包为zip文件，通过在AWS命令行工具中配置获取到的临时凭据，并执行如下指令将webshell文件上传到存储桶中： aws s3 cp webshell.zip s3...S3存储桶，并非用户的所有存储桶资源。...即仅授予执行任务所需的最小权限，不要授予更多无关权限。例如，一个角色仅是存储桶服务的使用者，那么不需要将其他服务的资源访问权限（如数据库读写权限）授予给该角色。

    5.1K20

    关于 minio 的权限配置参数说明

    ：JSONAI代码解释"Principal":{"AWS":"arn:aws:iam::123456789012:user/username"}含义：指定策略适用的用户或实体常用值：-"*"-所有用户（...4.Action（操作）定义允许或拒绝的具体操作读取相关操作：收起代码语言：JSONAI代码解释"Action":["s3:GetObject",//获取对象"s3:GetObjectVersion",...//获取对象版本"s3:ListBucket",//列出桶内容"s3:ListBucketVersions"//列出对象版本]写入相关操作：收起代码语言：JSONAI代码解释"Action":["s3:..."s3:RestoreObject"//恢复归档对象]管理相关操作：收起代码语言：JSONAI代码解释"Action":["s3:GetBucketAcl",//获取桶ACL"s3:PutBucketAcl...my-bucket","arn:aws:s3:::my-bucket/*"]含义：指定策略适用的资源格式：-桶本身："arn:aws:s3:::bucket-name"-桶内所有对象："arn:aws:

    43220

    简化安全分析：将 Amazon Bedrock 集成到 Elastic 中

    IAM 角色和权限：创建或配置具有必要权限的身份和访问管理 (IAM) 角色，以允许 Elastic 访问 Amazon Bedrock 资源。...我们将创建一个 S3 存储桶，一个具有必要 IAM 角色和策略的 EC2 实例，以访问 S3 存储桶，并配置安全组以允许 SSH 访问。...main.tf 文件通常包含所有这些资源的集合，如数据源、S3 存储桶和存储桶策略、Amazon Bedrock 模型调用日志配置、SQS 队列配置、EC2 实例所需的 IAM 角色和策略、Elastic...检查实例是否有权访问创建的 S3 存储桶。...使用 AWS 访问密钥配置集成，以访问配置了 Amazon Bedrock 的 AWS 账户。使用从 S3 存储桶收集日志，并指定在设置步骤中创建的存储桶 ARN。

    2.3K21

    为视频增加中文字幕---Amazon Transcribe

    用户上传视频文件到S3存储桶； 监测到S3存储桶中的文件变化，触发lambda函数； lambda函数调用Transcribe服务，生成视频对应的文本（json格式）； 对文本进行格式转换，生成字幕文件格式...创建S3存储桶 首先在AWS管理控制台进入”S3“服务，点击“Create bucket”, 输入存储桶的名称，点击“Create”按钮创建一个s3存储桶。 ?...创建IAM角色 每个Lambda函数都有一个与之关联的IAM角色。此角色定义允许该功能与其进行交互的其他AWS服务。...在本示例中，您需要创建一个IAM角色，授予您的Lambda函数权限，以便与Transcribe服务以及在上一步中创建的S3服务进行交互。...该触发条件设置监视刚刚创建存储桶的video目录中扩展名为.mp4的文件，如果是put操作，将触发该lambda函数。 ? 5.

    3.6K20

    【云原生攻防研究 】针对AWS Lambda的运行时攻击

    图4 AWS账户信息 配置完成后我们尝试通过AWS CLI与AWS服务端进行通信，以下命令含义为列出AWS账户中所有的S3存储桶资源，我们可以看到配置已生效： ?...存储桶，Lambda执行角色可以访问 root ~/work/project/reverse_lambda/serverless-prey/panther exportBUCKET_SUFFIX=$(uuidgen...| cut -b 25-36 | awk '{print tolower($0)}') true ##创建受保护的AWS存储桶，Lambda执行角色可以访问 root ~/work/project...---- 5.2窃取敏感数据 攻击者通过终端执行命令获取到AWS账户下的所有S3存储桶： root@microservice-master:~#aws s3 ls 2020-11-16 16:35:16...S3存储桶的所有内容同步至本地环境： root@microservice-master:~# aws s3 sync"s3://panther-9e575f5c6886" ~/panther download

    2.6K20

    从Wiz Cluster Games 挑战赛漫谈K8s集群安全

    列出集群中的所有secrets，开启你的探索之旅。你能发现其中的flag吗？...其中还发现了SAP SE公司项目存储库的有效凭据。这些凭据提供了对超过 9500 万个项目的访问权限，以及下载和有限部署操作的权限。...节点的IAM角色名称的约定模式为：[集群名称]- 节点组-节点实例角色 解题思路 本关开始，我们的服务帐户的权限为空，无法列出pod、secret的名称以及详细信息： root@wiz-eks-challenge..."的S3桶中的对象，以及列出桶中的对象，同时，也允许用户读取该桶中名为"flag"的特定对象。...解题思路 由题干得知：flag存储于challenge-flag-bucket-3ff1ae2存储桶中，我们需要获取到访问该存储桶的权限，那么需要获取到对应IAM角色的云凭据。

    1.4K10

    您不再需要云安全态势管理

    这些平台背后的云安全公司一直是这一领域的先驱，帮助组织识别诸如公共可访问的 S3 存储桶或没有多因素身份验证 (MFA) 的身份和访问管理 (IAM) 角色等问题，以及其他已知的云陷阱和错误配置，这些都会使你的云和组织面临不必要的风险...这意味着我们需要确保我们不会让整个平台工程团队去追逐扫描程序输出的安全工单。 想象一下，你所有的云配置——从强制实施 MFA 的IAM 角色到自动密钥轮换——都通过 IaC 进行管理。...自动错误配置检测: CSPM 可以自动扫描云环境以识别错误配置，例如公共可访问的 S3 存储桶或没有 MFA 的 IAM 角色。...云部署的现实 即使是最安全的 CI/CD 管道也无法防止所有风险。手动干预、命令行更改或外部承包商的操作可能会引入漏洞。这些更改通常会绕过标准安全检查，导致云环境受污染。...一旦识别出这些资产，平台就会将它们编码到您的 IaC 框架中，使它们与现有代码库处于相同的治理和管理流程下。这种编码确保所有资源，无论其来源如何，现在都作为代码进行管理。

    42010

    Elasticsearch 备份数据到

    Repository 在正常执行 _snapshot 以前，需要先建立好自己的 Repository。具体操作可以参考 S3 Repository Plugin 完成 S3 的配置操作。...AWS IAM 这个稍微复杂一点，也可能是我们对 AWS IAM 并不熟悉。按照 Elastic 官方给出的 Recommanded S3 Permissions 直接配置即可。...这里可以参考这个 S3 Permissions 的说明中后面一个 IAM 配置说明即可。 snapshot 操作 当 Repository 做好后，就可以直接执行 _snapshot 操作了。...pretty 查看所有的存储桶： curl -XGET localhost:9200/_snapshot/_all?pretty 备份索引 创建好存储仓库之后就可以开始备份了。...夸集群恢复步骤如下： clusterA —— 配置s3备份环境----clusterA执行备份到S3存储桶 clusterB —— 配置s3备份环境(指向clusterA备份存储桶)--

    2.8K10

    Cursor 不是“AI 代码补全”，而是你的 DevOps 搭档：10 个高阶玩法

    今天我们就分享cursor的实战经验，告诉你如何把Cursor从“玩具”升级为DevOps生产力核武器。核心理念：Prompt=结构化工单别再说“fixmyDockerfile”了！...），生成一个只允许读写特定S3存储桶的IAMPolicy。...2.MCP插件：直接操作外部系统启用KubernetesMCP后，你可以直接说：“查看prod命名空间中podorders-api-78d8的日志”Cursor会调用kubectllogs，返回日志，并自动分析常见错误...解决方案：技巧说明拆分文件把main.tf拆成network.tf,iam.tf,eks.tf@file引用输入@main.tf@variables.tf—添加S3版本控制频繁提交AI修改后立即gitcommit...存储桶自动生成成本优化策略（生命周期+智能分层）总结：Cursor的正确打开方式误区正确姿势“AI代码补全工具”AIDevOps搭档随便打字问问题结构化工单式Prompt一次性生成迭代调试+YOLO自动验证全仓库乱问精准引用

    33710

    云时代的身份安全：别再靠“密码123456”扛风险了

    但云不是这样的。云像一座“虚拟城市”，所有资源都暴露在API之下。...你一个权限没配好，后果可能是这样的：S3桶公开→数据被人爬走云主机凭证泄露→整个账单被挖矿打爆凭证权限太大→一个脚本误删生产环境开发同事离职→你忘记注销他的访问凭证云时代的访问方式变了，风险也成倍放大了...四、上手示例：写一个最小的IAM策略下面举一个精细控制S3桶访问的AWSIAMpolicy，示例用JSON（云厂商差别不大）：展开代码语言：JSONAI代码解释{"Version":"2012-10-17...department=dev写操作全部禁止这就是一个典型的ABAC。...如果你在企业里能把70%的权限改成这种“最小授权策略”，安全能力至少提升5倍。五、再来点实际的：如何给机器（而不是人）做身份？

    20800

    深入了解IAM和访问控制

    你可以赋予用户管理员的权限，使其能够任意操作 AWS 的所有服务，也可以依照 Principle of least privilege，只授权合适的权限。...但真要把握好 IAM 的精髓，需要深入了解 policy，以及如何撰写 policy。...其中，Effect 是 Allow，允许 policy 中所有列出的权限，Resource 是 *，代表任意 S3 的资源，Action 有两个：s3:Get* 和 s3:List*，允许列出 S3...所有的 IAM managed policy 是不需要指明 Principal 的。这种 policy 可以单独创建，在需要的时候可以被添加到用户，群组或者角色身上。...以上是 policy 的一些基础用法，下面讲讲 policy 的执行规则，它也是几乎所有访问控制方案的通用规则： 默认情况下，一切资源的一切行为的访问都是 Deny 如果在 policy 里显式 Deny

    4.7K80

    具有EC2自动训练的无服务器TensorFlow工作流程

    首先删除文件中的所有样板文本（如果需要，可以稍后参考文档中的所有各种选项），然后开始构建提供程序部分。 与大多数AWSless Serverless示例的主要区别在于，将定义自己的IAM角色。...创建的最终资源是自定义IAM角色，该功能将由所有功能使用，并且无服务器文档提供了一个很好的起点模板。...S3部署存储桶（通常会自动创建这些策略）。...IAM —获取，创建角色并将其添加到实例配置文件。从控制台启动EC2实例并选择IAM角色时，会自动创建此配置文件，但是需要在功能内手动执行此操作。...可以从tfjs-node项目中提取必要的模块，但是在本示例中，将利用中的直接HTTP下载选项loadLayersModel。 但是，由于S3存储桶尚未对外开放，因此需要确定如何允许这种访问。

    14.7K10

    打造企业级自动化运维平台系列（十三）：分布式的对象存储系统 MinIO 详解

    MinIO通过最高级别的加密以及广泛的优化提供了更多功能，几乎消除了通常与存储加密操作相关的开销。 WORM 启用WORM后，MinIO会禁用所有可能会使对象数据和元数据发生变异的API。...身份认证和管理 MinIO IAM 以 AWS Identity and Access Management （IAM） 兼容性为核心，无论环境如何，它都能向应用程序和用户展示该框架 ， 从而在不同的公有云...现在，组织可以真正统一其数据基础架构-从文件到块，所有这些都显示为可通过Amazon S3 API访问的对象，而无需迁移。...此外，MinIO以内联，严格一致的操作执行所有功能（擦除代码，位rotrot检查，加密）。结果是MinIO异常灵活。 每个MinIO群集都是分布式MinIO服务器的集合，每个节点一个进程。...列出存储桶 使用以下命令列出所有存储桶： $ mc ls myminio 上传文件到存储桶 使用以下命令将文件上传到存储桶： $ mc put myminio/mybucket/myobject mylocalfile

    13.2K12
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券