* ¿Trabajas en una **empresa de ciberseguridad**? ¿Quieres ver tu **empresa anunciada en HackTricks**? ¿O quieres tener acceso a la **última versión de PEASS o descargar HackTricks en PDF**? ¡Consulta los [**PLANES DE SUSCRIPCIÓN**](https://github.com/sponsors/carlospolop)!
* Descubre [**The PEASS Family**](https://opensea.io/collection/the-peass-family), nuestra colección exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Obtén el [**swag oficial de PEASS & HackTricks**](https://peass.creator-spring.com)
* **Únete al** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo de Discord**](https://discord.gg/hRep4RUj7f) o al [**grupo de telegram**](https://t.me/peass) o **sígueme** en **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Comparte tus trucos de hacking enviando PRs al** [**repositorio de hacktricks**](https://github.com/carlospolop/hacktricks) **y al** [**repositorio de hacktricks-cloud**](https://github.com/carlospolop/hacktricks-cloud).
**La metadata** se puede acceder desde cualquier máquina EC2 y ofrece información interesante sobre ella. Es accesible en la URL: `http://169.254.169.254` ([información sobre la metadata aquí](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ec2-instance-metadata.html)).
Hay **2 versiones** de la metadata. La **primera** permite **acceder** a la metadata mediante solicitudes **GET** (por lo que cualquier SSRF puede explotarla). Para la **versión 2**, [IMDSv2](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/configuring-instance-metadata-service.html), debes solicitar un **token** enviando una solicitud **PUT** con una **cabecera HTTP** y luego usar ese token para acceder a la metadata con otra cabecera HTTP (por lo que es **más complicado de abusar** con un SSRF).
Ten en cuenta que si la instancia EC2 está aplicando IMDSv2, [**según la documentación**](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/instance-metadata-v2-how-it-works.html), la **respuesta de la solicitud PUT** tendrá un **límite de salto de 1**, lo que hace imposible acceder a la metadata de EC2 desde un contenedor dentro de la instancia EC2.
Además, **IMDSv2** también **bloqueará las solicitudes para obtener un token que incluyan la cabecera `X-Forwarded-For`**. Esto es para evitar que los proxies inversos mal configurados puedan acceder a ella.
Puedes encontrar información sobre los [puntos finales de la metadata en la documentación](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/instancedata-data-categories.html). En el siguiente script se obtiene información interesante de ella:
Como ejemplo de credenciales IAM **públicamente disponibles**, puedes visitar: [http://4d0cf09b9b2d761a7d87be99d17507bce8b86f3b.flaws.cloud/proxy/169.254.169.254/latest/meta-data/iam/security-credentials/flaws](http://4d0cf09b9b2d761a7d87be99d17507bce8b86f3b.flaws.cloud/proxy/169.254.169.254/latest/meta-data/iam/security-credentials/flaws)
También puedes verificar las credenciales de seguridad **públicas de EC2** en: [http://4d0cf09b9b2d761a7d87be99d17507bce8b86f3b.flaws.cloud/proxy/169.254.169.254/latest/meta-data/identity-credentials/ec2/security-credentials/ec2-instance](http://4d0cf09b9b2d761a7d87be99d17507bce8b86f3b.flaws.cloud/proxy/169.254.169.254/latest/meta-data/identity-credentials/ec2/security-credentials/ec2-instance)
[**PACU**](https://github.com/RhinoSecurityLabs/pacu) se puede utilizar con las credenciales descubiertas para conocer tus privilegios e intentar escalar privilegios.
**ECS**, es un grupo lógico de instancias EC2 en las que puedes ejecutar una aplicación sin tener que escalar tu propia infraestructura de gestión de clústeres porque ECS se encarga de eso por ti. Si logras comprometer el servicio que se ejecuta en **ECS**, los **puntos finales de metadatos cambian**.
Si accedes a _**http://169.254.170.2/v2/credentials/\<GUID>**_ encontrarás las credenciales de la máquina ECS. Pero primero necesitas **encontrar el \<GUID>**. Para encontrar el \<GUID> necesitas leer la variable **environ****AWS\_CONTAINER\_CREDENTIALS\_RELATIVE\_URI** dentro de la máquina.\
Ten en cuenta que en **algunos casos** podrás acceder a la **instancia de metadatos de EC2** desde el contenedor (verifica las limitaciones de TTL de IMDSv2 mencionadas anteriormente). En estos escenarios, desde el contenedor podrías acceder tanto al rol IAM del contenedor como al rol IAM de EC2.
En este caso, las **credenciales se almacenan en variables de entorno**. Por lo tanto, para acceder a ellas, debes acceder a algo como **`file:///proc/self/environ`**.
Además, además de las credenciales IAM, las funciones Lambda también tienen **datos de eventos que se pasan a la función cuando se inicia**. Estos datos están disponibles para la función a través de la [interfaz de tiempo de ejecución](https://docs.aws.amazon.com/lambda/latest/dg/runtimes-api.html) y podrían contener **información sensible** (como en **stageVariables**). A diferencia de las credenciales IAM, estos datos son accesibles a través de SSRF estándar en **`http://localhost:9001/2018-06-01/runtime/invocation/next`**.
Ten en cuenta que las **credenciales de lambda** están dentro de las **variables de entorno**. Por lo tanto, si el **rastro de pila** del código lambda imprime las variables de entorno, es posible **filtrarlas provocando un error** en la aplicación.
Luego usamos las credenciales con `aws s3 ls s3://elasticbeanstalk-us-east-2-[ACCOUNT_ID]/`.
## GCP <a href="#6440" id="6440"></a>
Puedes [**encontrar aquí la documentación sobre los puntos finales de metadatos**](https://cloud.google.com/appengine/docs/standard/java/accessing-instance-metadata).
### URL SSRF para Google Cloud <a href="#6440" id="6440"></a>
Requiere el encabezado "Metadata-Flavor: Google" o "X-Google-Metadata-Request: True" y puedes acceder al punto final de metadatos con las siguientes URLs:
* http://169.254.169.254
* http://metadata.google.internal
* http://metadata
Puntos finales interesantes para extraer información:
No existen cosas como AWS Roles o cuentas de servicio de GCP, así que no esperes encontrar credenciales de bot de metadatos.
{% endhint %}
Documentación disponible en [`https://developers.digitalocean.com/documentation/metadata/`](https://developers.digitalocean.com/documentation/metadata/)
Desde la variable **env** puedes obtener los valores de `IDENTITY_HEADER`_y_`IDENTITY_ENDPOINT`. Que puedes usar para obtener un token para comunicarte con el servidor de metadatos.
Ten en cuenta que en IBM, de forma predeterminada, los metadatos no están habilitados, por lo que es posible que no puedas acceder a ellos incluso si estás dentro de una VM de IBM Cloud.
Oracle Cloud is a cloud computing platform provided by Oracle Corporation. It offers a wide range of cloud services, including infrastructure as a service (IaaS), platform as a service (PaaS), and software as a service (SaaS). With its robust infrastructure and comprehensive set of tools, Oracle Cloud is a popular choice for businesses looking to leverage the power of the cloud.
SSRF (Server-Side Request Forgery) es una vulnerabilidad común que puede ocurrir en aplicaciones web que permiten a los usuarios enviar solicitudes desde el servidor hacia otros recursos en la red. Esta vulnerabilidad puede ser explotada para realizar ataques maliciosos, como escanear puertos internos, acceder a servicios internos no autorizados o incluso filtrar información confidencial.
En el contexto de la nube, SSRF puede ser especialmente peligroso, ya que los servidores en la nube a menudo tienen acceso a recursos sensibles y confidenciales. Si un atacante logra explotar una vulnerabilidad SSRF en un servidor en la nube, podría acceder a servicios internos, como bases de datos o sistemas de almacenamiento, y potencialmente comprometer la seguridad de toda la infraestructura.
Es importante tener en cuenta que la explotación de SSRF en la nube puede ser más complicada debido a las medidas de seguridad adicionales implementadas por los proveedores de servicios en la nube. Sin embargo, no se debe subestimar la importancia de protegerse contra esta vulnerabilidad y tomar las medidas necesarias para mitigar los riesgos asociados.
1. Validar y filtrar las entradas del usuario: Es fundamental validar y filtrar cuidadosamente todas las entradas del usuario para evitar que se utilicen para realizar solicitudes no deseadas. Esto incluye la validación de URL, direcciones IP y otros parámetros relevantes.
2. Limitar los permisos de red: Es importante restringir los permisos de red de los servidores en la nube para limitar su capacidad de acceder a recursos sensibles. Esto puede incluir la configuración de reglas de firewall y la implementación de listas de control de acceso (ACL) para restringir el tráfico de red.
3. Utilizar listas blancas de direcciones IP: En lugar de permitir el acceso a cualquier dirección IP, se recomienda utilizar listas blancas de direcciones IP para permitir únicamente el acceso a los recursos autorizados. Esto ayuda a prevenir ataques SSRF al restringir las solicitudes a direcciones IP específicas.
4. Monitorear y registrar las solicitudes salientes: Es importante monitorear y registrar todas las solicitudes salientes desde los servidores en la nube para detectar posibles actividades sospechosas. Esto puede ayudar a identificar intentos de explotar vulnerabilidades SSRF y tomar medidas preventivas.
5. Mantenerse actualizado con los parches de seguridad: Los proveedores de servicios en la nube suelen lanzar parches de seguridad y actualizaciones regulares para abordar las vulnerabilidades conocidas. Es importante mantenerse actualizado con estas actualizaciones y aplicar los parches de seguridad correspondientes para protegerse contra las últimas amenazas.
Al seguir estas recomendaciones y adoptar buenas prácticas de seguridad, se puede reducir significativamente el riesgo de explotación de SSRF en la nube y proteger la infraestructura de la organización.
Alibaba is a cloud service provider based in China. It offers a wide range of services, including computing, storage, networking, and security solutions. Alibaba Cloud, also known as Aliyun, is the cloud computing arm of Alibaba Group. It provides scalable and secure cloud computing services to businesses and individuals worldwide.
Alibaba Cloud offers various products and services, such as Elastic Compute Service (ECS), Object Storage Service (OSS), Virtual Private Cloud (VPC), and Web Application Firewall (WAF). These services can be used to build and deploy applications, store and retrieve data, and protect web applications from attacks.
As a penetration tester, it is important to understand the security features and vulnerabilities associated with Alibaba Cloud. One common vulnerability that can be exploited is Server-Side Request Forgery (SSRF). SSRF allows an attacker to make requests from the vulnerable server to internal or external resources, potentially leading to unauthorized access or data leakage.
When testing for SSRF vulnerabilities in Alibaba Cloud, it is important to identify the endpoints that can be accessed by the server. This can include internal services, such as metadata servers or other cloud resources, as well as external services accessible over the internet.
To exploit an SSRF vulnerability in Alibaba Cloud, an attacker can craft a malicious request that tricks the server into making a request to a specific endpoint. This can be done by manipulating the URL or parameters of the request to redirect it to the desired target.
To prevent SSRF attacks in Alibaba Cloud, it is important to implement proper input validation and sanitization techniques. This includes validating user input, restricting access to internal resources, and using whitelists or blacklists to filter out potentially malicious URLs.
In conclusion, Alibaba Cloud is a popular cloud service provider that offers a wide range of services. However, it is important to be aware of the security risks associated with SSRF vulnerabilities and take appropriate measures to mitigate them.
Rancher is a popular open-source container management platform that allows you to easily deploy and manage containers in your infrastructure. It provides a user-friendly interface for managing containerized applications and supports various container orchestration frameworks such as Kubernetes, Docker Swarm, and Apache Mesos.
Rancher simplifies the process of deploying and scaling containers by providing a centralized management interface. It allows you to create and manage container clusters, monitor container health and performance, and easily scale your applications.
One of the key features of Rancher is its ability to integrate with various cloud providers and SaaS platforms. This allows you to easily deploy your containers on popular cloud platforms such as AWS, GCP, and Azure, as well as on-premises infrastructure.
Rancher also provides advanced networking capabilities, allowing you to define and manage network policies for your containers. It supports various networking plugins, including Calico, Flannel, and Canal, which provide different networking options for your containerized applications.
Overall, Rancher is a powerful tool for managing containers and simplifying the deployment and management of containerized applications. Whether you are running containers on-premises or in the cloud, Rancher provides a user-friendly interface and advanced features to help you effectively manage your container infrastructure.
* ¿Trabajas en una **empresa de ciberseguridad**? ¿Quieres ver tu **empresa anunciada en HackTricks**? ¿O quieres tener acceso a la **última versión de PEASS o descargar HackTricks en PDF**? ¡Consulta los [**PLANES DE SUSCRIPCIÓN**](https://github.com/sponsors/carlospolop)!
* Descubre [**La Familia PEASS**](https://opensea.io/collection/the-peass-family), nuestra colección exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family)
* Obtén el [**merchandising oficial de PEASS y HackTricks**](https://peass.creator-spring.com)
* **Únete al** [**💬**](https://emojipedia.org/speech-balloon/) [**grupo de Discord**](https://discord.gg/hRep4RUj7f) o al [**grupo de Telegram**](https://t.me/peass) o **sígueme** en **Twitter** [**🐦**](https://github.com/carlospolop/hacktricks/tree/7af18b62b3bdc423e11444677a6a73d4043511e9/\[https:/emojipedia.org/bird/README.md)[**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Comparte tus trucos de hacking enviando PRs al** [**repositorio de hacktricks**](https://github.com/carlospolop/hacktricks) **y al** [**repositorio de hacktricks-cloud**](https://github.com/carlospolop/hacktricks-cloud).
