cloud-security-audit

Files (1)

• SKILL.md

SKILL.md (first lines)

# 云安全深度攻防与审计技能

> **AI LOAD INSTRUCTION**: 多云安全审计专家打法（AWS/Azure/GCP/阿里云）。聚焦入口（元数据 SSRF/AK-SK/存储/Serverless）→权限边界枚举→提权路径→云上 AI 服务面。凭据验证只读不自改，云 CLI 不假设可用。

## 概述

云环境是现代化基础设施的核心，攻击面横跨IaaS/PaaS/SaaS多层。本技能系统化覆盖**云资产枚举→身份滥用→权限提升→横向移动→数据窃取→持久化→痕迹清理**完整攻击链，覆盖AWS/Azure/GCP/阿里云四大平台，并深度融入2025-2026最新威胁情报：OIDC信任滥用、AI辅助攻击、云上AI服务攻击面、云供应链与容器逃逸新漏洞。

### 核心概念
- **共享责任模型**：云厂商负责"云的安全"（物理/虚拟化/控制平面），租户负责"云中的安全"（IAM/数据/网络/配置）——绝大多数可被利用的漏洞都在租户侧
- **控制平面 vs 数据平面**：控制平面是云API/IAM（如sts:AssumeRole、ec2:RunInstances），数据平面是资源内部（如VM内命令执行）。云攻击的本质是"控制平面攻击"，一次API调用即等同于传统渗透的一次RCE
- **身份即边界**：2025年Google Cloud报告显示**身份妥协占云妥协事件的83%**，IAM已成为云上新的内核——"没有漏洞利用链，只有权限滥用"
- **Living-off-the-cloud (LOTC)**：不落地恶意软件，纯用云API与合法云服务完成C2/数据窃取/横向移动，流量与正常业务无法区分
- **攻击链模型**：初始凭据/入口 → 枚举（我有什么权限）→ 权限提升 → 横向移动 → 数据窃取 → 持久化 → 对抗（日志清理/规避检测）

### 2025-2026 云威胁态势（时效性情报）
| 威胁趋势 | 关键情报 | 攻防启示 |
|---------|---------|---------|
| 身份攻击主导 | 身份妥协占83%；钓鱼转向vishing（语音钓鱼）+第三方SaaS令牌窃取 | 审计重点从端口转向身份与信任关系 |
| AI压缩攻击时间 | Sysdig实测：AI辅助攻击8分钟内从凭据窃取到管理员权限（19个AWS主体、6个IAM角色） | 传统"小时级"响应已失效，需近实时检测 |
| OIDC信任滥用 | UNC6426：s1ngularity npm供应链+宽松GitHub→AWS OIDC信任策略，72小时实现AWS管理员接管；275+ AWS账户存在同类缺陷 | CI/CD身份信任关系是最高价值攻击面 |
| 容器逃逸新漏洞 | Leaky Vessels(CVE-2024-21626)、NVIDIAScape(CVE-2025-23266,CVSS 9.0)、runc三漏洞(CVE-2025-31133/52565/52881) | GPU容器/AI基础设施成为逃逸新战场 |
| 云上AI服务被攻击 | AWS Bedrock 8条IAM攻击向量、LLMjacking单日成本达$46,000、向量库未授权（Milvus CVE-2025-64513 CVSS 9.3） | AI服务自身就是新的高价值攻击面 |
| 供应链攻击常态化 | 2025年供应链攻击+93%；TanStack事件首次产出带有效SLSA L3的恶意包；tj-actions影响23,000+仓库 | 镜像/依赖/CI/CD第三方组件必须纳入审计 |
| 检测规避升级 | T1562.008禁用云日志；PutBucketLifecycle短过期删CloudTrail日志；ATT&CK v18新增K8s/CI/CD/云数据库覆盖 | 日志完整性与抗篡改成为防御基石 |

## 一、云资产枚举与攻击面映射

### 1.1 侦察阶段

**被动枚举：**
| 技术 | 工具 | 目标 |
|------|------|------|
| 子域名枚举 | Amass/Subfinder/CloudBrute | 发现云服务端点 |
| 证书透明度 | crt.sh/Censys | 发现云域名 |
| DNS枚举 | DNSRecon/DNSDumpster | CNAME到云服务（识别云厂商） |
| 搜索引擎 | Google Hacking/Shodan/FOFA/Quake | 暴露的云资源 |
| GitHub泄露 | git-hound/truffleHog/gitleaks | AK/SK/Token/密钥 |
| 云指纹识别 | CloudEnum/cloudbrute | 识别云服务商与资源名模式 |

**凭据泄露面（2025-2026新增重点）：**
```
1. GitHub/GitLab 代码库：硬编码AKSK（正则匹配）
   阿里云:  ^LTAI[A-Za-z0-9]{20}$
   腾讯云:  ^AKID[A-Za-z0-9]{32}$
   AWS:    (A3T[A-Z0-9]|AKIA|AGPA|AIDA|AROA|AIPA|ANPA|ANVA|ASIA)[A-Z0-9]{16}
2. CI/CD 日志与配置：GitHub Actions secrets、Jenkins凭证、.env提交
3. 容器镜像层：docker history 泄露环境变量中的凭据
4. SaaS/第三方令牌：Slack/OAuth token、Salesforce集成凭据（UNC6395事件路径）
5. AI工具配置：Claude/Gemini CLI/Amazon Q本地凭据文件（QUIETVAULT专门窃取，含--dangerously-skip-permissions滥用）
6. 前端JS/小程序包：Webpack解包、逆向提取STS临时凭据
7. 错误页面/heapdump/备份文件泄露
```

**主动枚举：**
```bash
# AWS S3 Bucket枚举
aws s3 ls s3://bucket-name --no-sign-request
aws s3api list-buckets --profile target

# Azure Storage枚举
az storage blob list --container-name container --account-name account

# GCP Bucket枚举
gsutil ls gs://bucket-name

# 阿里云 OSS 枚举（ossutil2）
ossutil64 ls oss://bucket-name
```

### 1.2 云平台攻击面矩阵

| 攻击面 | AWS | Azure | GCP | 阿里云 |
|--------|-----|-------|-----|--------|
| 身份服务 | IAM | Entra ID(原Azure AD) | Cloud IAM | RAM |
| 对象存储 | S3 | Blob Storage | Cloud Storage | OSS |
| 计算 | EC2/Lambda | VM/Functions | GCE/Functions | ECS/FC |
| 数据库 | RDS/DynamoDB | SQL DB/Cosmos | Cloud SQL/BigQuery | RDS/OTS |
| 容器 | EKS/ECS | AKS | GKE | ACK |
| 消息队列 | SQS/SNS | Service Bus | Pub/Sub | MNS |
| Serverless | Lambda | Functions | Cloud Functions | FC |
| AI平台 | Bedrock/SageMaker | Azure OpenAI | Vertex AI | 百炼/DAS |
| 密钥管理 | KMS | Key Vault | Cloud KMS | KMS |
| 审计日志 | CloudTrail | Activity Log | Audit Log | ActionTrail |

### 1.3 权限枚举（拿到凭据后第一件事）
```bash
# AWS：我到底有什么权限
aws sts get-caller-identity
# 显式枚举（可能被拒）
aws iam list-attached-user-policies --user-name <user>
# 盲测枚举（enumerate-iam / pacu iam__bruteforce_permissions）
# 通过调用数百个只读API，以成功/失败推断权限矩阵
python3 enumerate-iam --access-key AKIA... --secret-key ...

# Azure
az account show
az ad signed-in-user show

# GCP
gcloud auth list
gcloud projects get-iam-policy <project-id>

# 阿里云
aliyun sts GetCallerIdentity
```

## 二、IAM 深度攻击与权限提升

### 2.1 AWS IAM 攻击面总览

**AK/SK泄露利用：**
```bash
# 枚举当前身份与权限
aws sts get-caller-identity
aws iam list-attached-user-policies --user-name $(aws sts get-caller-identity --query Arn --output text | cut -d/ -f2)
aws iam simulate-principal-policy --policy-source-arn arn:aws:iam::123:user/user --action-names "*"

# 权限提升关键API

From langbyyi/CyberStrikeAI-SRC, Apache-2.0.

More from langbyyi/CyberStrikeAI-SRC