ангуляр вразливість {{7*7}}

Каждый раз когда встречаю на своем пути SSRF, то каждый раз возвращаюсь в свои же посты в данном канале где вспоминаю важные штуки или команды.
Кароч решил положить конец этому и обернуть тут всё важное и необходимое одним постом.
Если нам на пути встретилась не слепая ssrf. И если так получилось что сервис еще живет на AWS, то есть совершенно четкий сценарий что нужно делать с этим.
Сперва нужно проверить наличие IAM роли на профиле обратившись в

http://169.254.169.254/latest/meta-data/iam/
http://169.254.169.254/latest/meta-data/iam/security-credentials/

Если мы смогли получить в ответ role name то совершенно однозначно пытаемся забрать ключики

http://169.254.169.254/latest/meta-data/iam/security-credentials/your_role_name_here/

И если вам всё еще везет, то можно взять эти креды, сунуть их в ваш aws cli, и попытаться вызвать

aws ssm describe-instance-information --output text --query "InstanceInformationList[*]"

По прежнему всё чётко? Значит вы в пол шага от RCE на AWS через SSRF. Если нет, то можно поиграться в эти тулы:
https://github.com/RhinoSecurityLabs/pacu
https://github.com/nccgroup/ScoutSuite
https://github.com/andresriancho/enumerate-iam
А еще не забываем проверить какие s3 бакеты на аккаунте привязаны.

В целом шансов на полноценную rce через ssrf всё меньше и меньше т.к многие начинают переходить на IMDSv2(EC2 Instance Metadata Service) где всё же включили возможность обращения к метадате только через токен.
Т.е там заложено что для получения метадаты нужно запросить токен через PUT на

http://169.254.169.254/latest/api/token

при этом как-то сунув еще хедер

X-aws-ec2-metadata-token-ttl-seconds: 21600

. И вот потом с

X-aws-ec2-metadata-token: $TOKEN

, вторым запросом можно сходить на

http://169.254.169.254/latest/meta-data/

. Но есть твитт (https://twitter.com/Yassineaboukir/status/1512091514259873799) как рисёрчер умудрился и это сделать:

We found a way to control the headers and request method.

А тут собственно история про то как это у них получилось - https://www.yassineaboukir.com/blog/exploitation-of-an-SSRF-vulnerability-against-EC2-IMDSv2/
Если кратко, то чувакам повезло найти Confluence SSRF в которой через atlassian gadget можно было выполнить полноценный PUT запрос. По итогу они там еще и сложность встретили одну и обходили её через double URL-encoded. Круто что не растерялись.

Остальное полезное на почитать собрал тут:
https://hackingthe.cloud/aws/exploitation/ec2-metadata-ssrf/
https://sanderwind.medium.com/escalating-ssrf-to-rce-7c0147371c40
https://zonduu.medium.com/ssrf-to-fetch-aws-credentials-with-full-access-to-various-services-18cd08194e91
https://kloudle.com/academy/iam-bad-privilege-escalation-using-misconfigured-policies-in-aws-iam-webinar
https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/configuring-instance-metadata-service.html

https://intelx.io/
https://www.shodan.io

но там нужны платные аккаунты