Pacu Framework - Vídeo Pen test em AWS com o Pacu

[Amaral21]

Galera, assisti o vídeo do Mente Binária no Youtube e queria saber mais sobre o Pacu Framework.

Tive uma dúvida em relação ao vídeo, como o profile (paculabs) foi cadastrado para realizar os exploits? Quero reproduzir o que foi feito na minha máquina! Abraço!

[Rodrigo Montoro]

Basicamente ele foi configurado com o awscli

aws configure --profile paculabs

Com isso ele pedirá access e secretkey.

Mais info como instalar https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-welcome.html

Porém você pode usar o set_keys direto também no PACU.

set_keys                            Add a set of AWS keys to the session and set them as the
                                                  default

Qualquer coisa estamos ai!

Abs

[Amaral21]

tranquilo! testei com set_keys e consegui cadastrar as keys de uma conta gratuita que fiz.

Mas na conta de vocês a credencial pra alterar uma policie já está embutida? Com minha conta gratuita não fui capaz de escalar os privilégios partindo do zero mesmo.

[andreluna]

Muito cuidado com as permissões dessas chaves da AWS.
Já usei o PACU alguma vezes em minha conta pessoal. Em conta de empresa fiquei com certo receito de utilizar, mas tendo cuidado com as permissões da chaves utilizadas acredito que não vai ter problemas.

Certifique-se que as permissões desse usuário no IAM sejam apenas de leitura ou de auditoria apenas.