20250122_flAWS.pdf

Transcript

1. 2026年01月22日 SCSK株式会社 渡邉 智士 flAWSで 旗取ってみた
2. ! $5'ʹ͍ͭͯ n $5'
   $BUDI
   UIF
   'MBH l ηΩϡϦςΟٕज़Λۦ࢖ͯ͠ӅΕͨʮϑϥοάʯͱݺ͹ΕΔจࣈྻΛݟ͚ͭग़͠ɺ ͦͷ೉қ౓΍ૣ͞ʹΑͬͯϙΠϯτΛ֫ಘͯ͠উෛ͢ΔϋοΩϯάίϯςετ l Ұ੪ʹڝ͏Πϕϯτܕͱৗઃܕ͕͋Δ l Α͘࢖ΘΕΔٕज़ ► 424ΠϯδΣΫγϣϯ ► 944 ► όοϑΝΦʔόʔϑϩʔ
3. flAWSとは n AWS版CTFの一つ • Webサイトに隠されたflaws（欠陥）を探し出して隠された文字列を見つけ 出す • トップページより 「ここには、SQL インジェクション、XSS、バッファオーバーフローな ど、これまでに見たことのある典型的な脆弱性は登場しません。可能 な限り、AWS 固有の問題に焦点を当てています。」
4. 今回のテーマ：flAWSやってみた • flAWS Level 1のネタバレを含みます • LT用にサイトの内容を一部意訳・再構成しています おことわり
5. Level 1 This level is *buckets* of fun. See if you can find the first sub-domain. • 意味深な「バケット」 • このサイトがflaws.cloudなので http://<sub-domain>.flaws.cloudにアクセスできれば良さそう
6. " これ、めっちゃ**難しい**です。 n とりあえずソースコードを見てみる • 「HTMLコードを見ても何もありませんよ。これはAWSチャレンジです。 他のチャレンジで使っていたようなものは使うことができません」 • 先読みされてしまっていた • ノーヒントだときついのでヒントを見てみる
7. Hint 1-① ➔ S3バケット名が flaws.cloud であることが分かった このサイト flaws.cloud は S3バケット上でホスティングされています。 興味深い事実として、S3バケット上でサイトをホストするときは、バケット名が ホスト名に一致している必要があります。 また、バケットはグローバルで一意である必要があります。 ここから分かるのは、もしあなたが apple.com というバケットを作れたら、 AppleはサイトをS3でホスティングできないということです。
8. Hint 1-② このサイトがS3でホスティン グされていることは、digコマ ンドを実行して返されるIPア ドレスにアクセスするとS3の ページへ飛ばされることから 確認できます。 dig @8.8.8.8 flaws.cloud any +multiline +noall +answer ; <<>> DiG 9.10.6 <<>> @8.8.8.8 flaws.cloud any +multiline +noall +answer ; (1 server found) ;; global options: +cmd flaws.cloud. 5 IN A 52.92.164.227 flaws.cloud. 5 IN A 52.92.190.179 flaws.cloud. 5 IN A 52.218.176.186 flaws.cloud. 5 IN A 52.92.138.219 flaws.cloud. 5 IN A 52.92.149.3 【余談】 digするたびにIPアドレスが変わる S3ウェブサイトには大量のIPアドレスプールがある ことが分かる
9. Hint 1-③ さらに nslookup コマンド からバケットのリージョンが 判明します nslookup 52.92.164.227 … Non-authoritative answer: 227.164.92.52.in-addr.arpa name = s3-website-us-west-2.amazonaws.com. ➔バケットのリージョンが us-west-2 だと分かった あとは、権限設定が少しばかり甘いことに気づくことがクリアの助けになるでしょう ➔ !
10. ListBucketしてみる aws s3 ls s3://flaws.cloud/ --no-sign-request --region us-west-2 2017-03-14 12:00:38 2575 hint1.html 2017-03-03 13:05:17 1707 hint2.html 2017-03-03 13:05:11 1101 hint3.html 2024-02-22 11:32:41 2861 index.html 2018-07-11 01:47:16 15979 logo.png 2017-02-27 10:59:28 46 robots.txt 2017-02-27 10:59:30 1051 {redacted-secret-page}.html n 隠されたHTMLファイルを発見
11. 旗取り成功 n http://flaws.cloud/{redacted-secret-page}.html にアクセス n 解説より • 静的ウェブホスティングのためには s3:GetObject を全員に許可する必要がある • 今回はこれに加えて、全員に s3:ListBucket の許可を与えた • 過去事例 • Shopifyのログバケットがパブリックに読み書き可能（2016） • Udemyが所有するバケットが誰からでも書き込み可能（2016）
12. ิ଍ n EJH݁ՌΑΓ l /4ϨίʔυΑΓ 3PVUF
    ؅ཧͱΘ͔Δ l "ϨίʔυͰ*1ΞυϨε͕ ௚઀ฦ͖͍ͬͯͯΔͷͰ ΤΠϦΞεΛ࢖༻͍ͯ͠Δ l ͭͷ*1ΞυϨε͕ճ౴͞Ε Δ͕͜ͷ૊Έ߹Θ͕ͤEJHͷ ͨͼʹมΘΔ ➔ 4΢ΣϒαΠτʹ͸େྔ ͷ*1ΞυϨεϓʔϧ͕͋Δ͜ ͱ͕෼͔Δ ; <<>> DiG 9.10.6 <<>> @8.8.8.8 flaws.cloud any +multiline +noall +answer ; (1 server found) ;; global options: +cmd flaws.cloud. 5 IN A 52.92.250.235 flaws.cloud. 5 IN A 52.218.242.194 flaws.cloud. 5 IN A 52.92.250.115 […] flaws.cloud. 21600 IN NS ns-966.awsdns-56.net. flaws.cloud. 21600 IN NS ns-1890.awsdns-44.co.uk. flaws.cloud. 21600 IN NS ns-1061.awsdns-04.org. flaws.cloud. 21600 IN NS ns-448.awsdns-56.com. flaws.cloud. 900 IN SOA ns-1890.awsdns-44.co.uk. […]
13. ิ଍ n %/4ٯҾ͖͸໊લղܾͷٯૢ࡞Ͱ͸ͳ͍ l GMBXTDMPVEͷEJH݁Ռʢ"Ϩίʔυͷ*1ʣΛٯҾ͖͢ΔͱTXFCTJUFVTXFTU BNB[POBXTDPN͕ฦ٫͞Εͨ l 4
    8FCαΠτ͸ϚϧνςφϯτͰಈ࡞͠*1Λڞ༗͢ΔͨΊɺ ໊લղܾͰಘͨ*1͔ΒٯҾ͖݁Ռͱͯ͠ݸผυϝΠϯ໊Ͱ͸ͳ͘αʔϏε໊͕ઃఆ͞Ε͍ͯΔ GMBXTDMPVE IPHFDPN QJZPKQ 52.92.164.227 TXFCTJUFVTXFTUͷ*1܈ 52.92.164.227 52.92.190.179 52.218.176.186 IPHFDPN GMBXTDMPVE QJZPKQ )PTUϔομͰৼΓ෼͚
14. まとめ n flAWS面白い • 攻撃者の視点でセキュリティについて学ぶことができる • 手順をたどるハンズオンとは異なり自分で考えて進めるので簡単なテーマでも理解を 深めることができる • 普段はあまり意識しない内部構造を見ることができる