21、渗透测试CloudTrail：绕过日志记录与破坏日志的方法

渗透测试CloudTrail：绕过日志记录与破坏日志的方法

1. 跨账户枚举用户和角色

在AWS环境中，我们可以利用跨账户的方法来枚举目标账户中的用户和角色，且不会在目标账户中留下任何权限或日志记录。我们只需要自己的AWS账户和目标账户的ID。

1.1 枚举用户

IAM角色有一个信任策略文档，用于指定哪些IAM资源或账户可以从该角色请求临时凭证。由于IAM会将用户ARN转换为唯一的用户ID，所以无法设置允许访问不存在用户的信任策略。利用这一点，攻击者可以通过暴力破解来确定目标账户中存在哪些用户。

可以使用Pacu模块 iam__enum_users 来自动化这个过程。具体操作步骤如下：
1. 打开并配置Pacu。
2. 运行以下命令来枚举ID为 000000000000 的账户中的IAM用户：

run iam__enum_users --account-id 000000000000 --role-name TestRole

其中， TestRole 是在自己账户中创建的IAM角色。运行该模块时，自己的AWS CloudTrail日志会被 iam:UpdateAssumeRolePolicy 日志淹没，但目标账户不会有任何察觉。

示例输出如下：

Pacu (Demo:imported-default