技能介绍

解决什么问题

云攻击面横跨身份、权限、数据面与审计日志，一次合规测试很容易退化成逐条查权限的体力活。攻击性云安全是一套面向 AWS、Azure、GCP 的渗透测试方法论，把云渗透中反复出现的模式整理成可复用的杀链：先确认身份上下文，再以只读方式枚举权限，把权限映射到已知提权原语，趁告警触发前定位数据与持久化锚点，最后用带时间戳、身份和资源的记录还原完整攻击路径。

核心能力与关键步骤

身份发现：区分用户、角色、服务账号、实例角色等上下文；通过 aws sts get-caller-identity、az account show、gcloud auth list 做无写入枚举；SSRF 场景下对 IMDSv2 可达性做判断。
提权路径映射：按平台列出提权原语，如 AWS 的 iam:PassRole 配合 lambda:CreateFunction、经 iam:CreatePolicyVersion 自提权、用 glue:UpdateDevEndpoint 注入 SSH 密钥；Azure 的自定义角色 */write、Automation Account RunBook 以 Run-As 身份执行；GCP 的 resourcemanager.projects.setIamPolicy 直接给自己授予任意角色。
跨云通用模式：CI/CD 作为跳板，典型如 GitHub Actions OIDC 信任策略中 sub claim 配置不当即可 assume 任意 AWS 角色；快照侧移（把受害磁盘挂到自有账号离线取数据）、镜像仓库标签可变性导致的投毒、审计日志中泄漏的 API key。
检测规避与报告：梳理 CloudTrail 多区域日志校验、GuardDuty findings 反馈抑制、AAD 审计日志低权限不可篡改等日志机制的边界，产出带时间戳的杀链报告。

适用边界与注意点

所有路径均面向授权测试场景；UpdateAssumeRolePolicy、CreateAccessKey 等操作在真实环境中属于高危写操作，需在测试范围中显式声明。
提权表只覆盖 SKILL.md 列出的原语，并非穷尽；HackTricks Cloud 与 MITRE ATT&CK Cloud Matrix 用于追踪新路径。
2024 年后 IMDSv2 在默认防护下经 SSRF 提取凭据的成功率已大幅下降，不应默认其为主要突破口。