Realizando Avaliação de Escalação de Privilégios na AWS

Quando Usar

• Ao conduzir testes de penetração autorizados em configurações de IAM da AWS
• Ao validar que as políticas de IAM seguem o princípio do menor privilégio
• Ao avaliar o raio de impacto de uma credencial AWS comprometida
• Ao construir revisões de segurança para alterações de funções e políticas de IAM em pipelines de CI/CD
• Ao avaliar relacionamentos de confiança entre contas para riscos de escalação de privilégios

Não use para testes não autorizados contra contas AWS, para avaliar vetores de ataque não relacionados ao IAM (SSRF, vulnerabilidades de aplicativos) ou como substituto para testes de penetração abrangentes na nuvem. Sempre obtenha autorização por escrito antes de testar.

Pré-requisitos

• Autorização por escrito para testes de escalação de privilégios na conta AWS alvo
• Usuário ou função IAM de teste com permissões limitadas como ponto de partida
• Pacu instalado (pip install pacu)
• CloudFox instalado (go install github.com/BishopFox/cloudfox@latest)
• PMapper (Principal Mapper) instalado (pip install principalmapper)
• AWS CLI configurado com credenciais de teste e log do CloudTrail ativado para trilha de auditoria

Fluxo de Trabalho

Etapa 1: Enumerar Permissões Iniciais

Estabeleça as permissões base do principal de teste antes de tentar a escalação.

# Get current identity
aws sts get-caller-identity

# Enumerate inline and attached policies for the current user
aws iam list-user-policies --user-name test-user
aws iam list-attached-user-policies --user-name test-user

# Get group memberships and group policies
aws iam list-groups-for-user --user-name test-user
for group in $(aws iam list-groups-for-user --user-name test-user --query 'Groups[*].GroupName' --output text); do
  echo "=== Group: $group ==="
  aws iam list-group-policies --group-name "$group"
  aws iam list-attached-group-policies --group-name "$group"
done

# Simulate specific API calls to map effective permissions
aws iam simulate-principal-policy \
  --policy-source-arn arn:aws:iam::ACCOUNT:user/test-user \
  --action-names iam:CreateUser iam:AttachUserPolicy iam:PassRole \
    lambda:CreateFunction ec2:RunInstances sts:AssumeRole \
  --query 'EvaluationResults[*].[EvalActionName,EvalDecision]' --output table

Etapa 2: Escanear Caminhos de Escalação de Privilégios com Pacu

Use o scanner de escalação de privilégios do Pacu para identificar técnicas conhecidas de escalação de IAM.

# Start Pacu session
pacu

# Create session and set credentials
Pacu (new:session) > set_keys --key-alias privesc-test

# Enumerate IAM configuration
Pacu > run iam__enum_users_roles_policies_groups
Pacu > run iam__enum_permissions

# Run privilege escalation scanner
Pacu > run iam__privesc_scan

# The scanner checks for 21+ known escalation methods including:
# - iam:CreatePolicyVersion (create admin policy version)
# - iam:SetDefaultPolicyVersion (revert to permissive older version)
# - iam:AttachUserPolicy / iam:AttachRolePolicy (attach admin policy)
# - iam:PutUserPolicy / iam:PutRolePolicy (create inline admin policy)
# - iam:PassRole + lambda:CreateFunction (Lambda with admin role)
# - iam:PassRole + ec2:RunInstances (EC2 with admin instance profile)
# - iam:CreateLoginProfile / iam:UpdateLoginProfile (set console password)
# - iam:CreateAccessKey (create keys for other users)
# - sts:AssumeRole (assume more privileged roles)
# - glue:CreateDevEndpoint + iam:PassRole (Glue with admin role)

Etapa 3: Mapear Gráficos de Escalação de Privilégios com PMapper

Use o Principal Mapper para construir um gráfico de todos os principais de IAM e identificar arestas de escalação.

# Collect IAM data for graph construction
pmapper graph create --account ACCOUNT_ID

# Query for paths to admin
pmapper query 'who can do iam:AttachUserPolicy with * on *'
pmapper query 'who can do sts:AssumeRole with arn:aws:iam::ACCOUNT:role/AdminRole'

# Find all principals that can escalate to admin
pmapper analysis

# Visualize the privilege escalation graph
pmapper visualize --filetype png

# Check specific escalation paths
pmapper query 'can arn:aws:iam::ACCOUNT:user/test-user do iam:CreatePolicyVersion with *'
pmapper query 'can arn:aws:iam::ACCOUNT:user/test-user do sts:AssumeRole with arn:aws:iam::ACCOUNT:role/*'

Etapa 4: Testar Assunção de Função Entre Contas

Avalie políticas de confiança entre contas para assunções de função mal configuradas que permitam escalação não autorizada.

# Listar todas as funções e suas políticas de confiança

…