Privilegi eccessivi senza server

Cos’è Privilegi eccessivi senza server?

Una funzione è un principio. Le credenziali del ruolo di esecuzione sono ambientali, quindi chiunque possa eseguire la funzione mantiene il ruolo senza rubare nulla. Ciò va bene finché un ridimensionatore di immagini non detiene autorizzazioni a livello di account, mantiene segreti nelle variabili di ambiente e accetta richieste non autenticate. Individuerai l'URL della funzione nel pannello di rete del browser, attiverai un flag di debug rimanente che scarica l'ambiente e leggerai un segreto di produzione come funzione. Quindi definirai l'ambito del ruolo, richiederai l'autenticazione IAM e sposterai i segreti in un riferimento al manager.

Cosa imparerai in Privilegi eccessivi senza server

• Una funzione è un'entità e le sue credenziali sono ambientali, quindi l'esecuzione del codice nella funzione costituisce un accesso immediato al suo ruolo.
• I segreti nelle variabili di ambiente vengono esposti a chiunque possa leggere la configurazione della funzione e vengono visualizzati nella diagnostica.
• Un URL di funzione non autenticato trasforma un'errata configurazione interna in una configurazione raggiungibile tramite Internet.
• La definizione del ruolo è la cosa più importante, perché limita il danno quando gli altri due controlli falliscono.

Privilegi eccessivi senza server — Fasi della formazione

1. Inizia dove tutti possono guardare

   Bob non è dentro Vaelrick. È sul loro sito pubblico di elenchi di proprietà, la stessa pagina che vede qualsiasi acquirente. Non c'è nulla di privilegiato qui, ed è proprio per questo che inizia.

2. Guarda cosa richiede la pagina

   Bob apre il pannello di rete del browser e ricarica la pagina, in modo da poter vedere le richieste effettuate dalla galleria prima che venga visualizzata qualsiasi immagine.

3. Risponde a chiunque

   Bob chiama l'endpoint direttamente dal proprio computer, senza alcuna credenziale.

4. Il flag di debug scarica la sua identità

   Bob aggiunge il parametro debug di cui gli ha parlato il sito. La funzione stampa il suo intero ambiente.

5. Indossa l'identità della funzione

   I tre valori AWS_ del dump sono un set completo e funzionante di credenziali temporanee. Bob li carica in un profilo con nome sulla sua macchina e da quel momento la sua CLI può fungere da funzione.

6. Diventa la funzione

   Il profilo è caricato. Bob pone ad AWS la prima domanda che qualsiasi utente malintenzionato pone con una nuova serie di credenziali: chi sono io adesso?

7. Fino a che punto arriva un creatore di miniature?

   Una funzione che scrive miniature dovrebbe vedere un bucket. Bob li chiede tutti.

8. Prendi i gioielli della corona

   Bob usa il ruolo per leggere un segreto che non ha assolutamente nulla a che fare con il ridimensionamento delle immagini.

9. Quale guasto ha causato il danno?

   Prima della risposta, indica cosa ha trasformato un endpoint trapelato in una violazione della produzione.

10. Qualcuno sta usando la nostra chiave Stripe

    L'elaboratore dei pagamenti di Vaelrick ha contrassegnato le chiamate API firmate con la chiave live da un indirizzo sconosciuto. Quella chiave risiede in Secrets Manager, che dovrebbe essere il posto sicuro per essa.