18. Cloud Post-Exploitation

18.1 Azure/Entra ID攻击路径

• 获取Global Admin → 重置服务管理员密码 → 访问所有订阅
• Conditional Access Policy绕过(IP信任/设备信任)
• Managed Identity滥用 → 访问Azure Key Vault/Storage
• Azure AD Connect同步账户 → DC Sync
• 工具: ROADtools / AADInternals

18.2 AWS Post-Exploitation

• EC2 Instance Metadata → IAM凭证窃取 → AWS CLI横向
• S3 Bucket枚举/数据窃取
• Lambda函数注入/修改
• CloudTrail日志篡改/规避
• 工具: Pacu / CloudSploit / ScoutSuite

18.3 M365 exploitation

• Exchange Online: OAuth应用滥用 / 邮件规则后门
• SharePoint/OneDrive: 文件窃取 / 权限提升
• Teams: 消息钓鱼 / 文件共享滥用
• 工具: MicroBurst / o365recon

---