在瞬息万变的网络安全环境中，保持警惕尤为重要，尤其是在云计算基础设施中。最近，Datadog的安全研究团队揭示了一种新型的攻击模式——whoAMI攻击，这是一种基于云镜像名称混淆的攻击，可能对成千上万的AWS账户造成危险。根据研究，在2024年8月，安全研究人员识别了一种普遍存在的模式，此模式允许攻击者通过创建被恶意命名的Amazon机器映像（AMI），利用这些映像获得对受害者AWS账户的代码执行权限。若这种攻击规模化执行，可能会被利用来获取数千个AWS账户的访问权限。

在这一背景下，whoAMI攻击归类为一种名称混淆攻击，其机制在于攻击者通过发布恶意资源来误导错误配置的软件使用这些资源，而不是预期的安全资源。这一攻击类型与早前已知的软件依赖混淆攻击有相似之处，但不同之处在于，whoAMI攻击的恶意资源是虚拟机镜像而非软件依赖项。在此情形中，攻击者利用了一种未能对AMI源进行验证的常见程序设计错误，从而造成了安全隐患。

Amazon机器映像（AMI）对于启动AWS EC2实例至关重要。在许多情况下，用户并不知道确切的AMI ID。为了查找所需的AMI，用户通常会使用AWS的搜索功能（通过ec2:DescribeImages API）来获取最新的AMI。然而，如果未正确使用owners属性来确认AMI的发布者，用户可能会遭遇whoAMI攻击。假设攻击者创建了一些AMI，而这些AMI的名称恰好与用户期望的名称匹配并且是最新的，系统就会将其识别为有效的AMI。

例如，以下代码块展示了一种常见的Terraform配置，它缺少了必要的owners属性：

data "aws_ami" "ubuntu" {
  most_recent = true
  filter {
    name = "name"
    values = ["ubuntu/images/hvm-ssd/ubuntu-focal-20.04-amd64-server-*"]
  }
}

在执行此配置后，Terraform将请求所有与该名称匹配的AMI，包括那些发布于其他AWS账户的公共社区AMI。此时，攻击者可以轻易地发布一个新的AMI，名称为ubuntu/images/hvm-ssd/ubuntu-focal-20.04-amd64-server-whoAMI，并将其设置为公共可访问，从而诱导用户的系统错误使用该AMI。

攻击演示的过程中，研究人员创建了一个带有后门的AMI，并在一个控制的环境中展示了攻击过程。在这种情况下，这一攻击过程不仅仅局限于Terraform，任何使用AWS CLI或编程语言的工具，都有可能不经意间引入风险。这使得whoAMI攻击不仅形式多样、简便易行，更为网络安全带来了严峻的挑战。

为了保障用户的安全，AWS已于2024年12月1日推出了Allowed AMIs功能，允许用户创建AMI来源的白名单。这一新控制措施为用户提供了一层有效的防护，防止不受信任的AMI被用于创建EC2实例。

在这一漏洞被披露之前，AWS内部也曾被发现存在类似漏洞。通过与AWS的漏洞披露计划合作，研究人员确认了AWS非生产环境中的漏洞情况。这一脚本通过AWS的API接口检索公共AMI时，错误配置的使用方式使得内部系统可能受到影响，甚至允许攻击者在AWS的内部系统中执行任意代码。

根据Datadog的研究，大约1%的AWS组织受到了此攻击的影响，这不仅提醒了云服务提供商的客户应加强安全防护，同时也促使他们需要定期审视和更新其云基础设施策略。研究团队在其公开的文档中附上了查询工具，用户可以通过这些查询确定他们的代码是否存在潜在的安全漏洞，并利用新发布的whoAMI-scanner开源项目来检测当前环境中潜在的不受信任的AMI。

通过识别与验证AMI出版知识的缺失，这一漏洞不仅在技术实现层面上引发了反思，更在管理规范和风险控制方面提出了更高的要求。AWS如今提供的白名单机制，通过限制AMI的来源，有效减少了恶意AMI被意外调用的风险。

在确保网络安全方面，Datadog通过其安全产品团队提供了一系列解决方案，帮助用户在其开发和生产环境中强化安全防护，包括自动响应和配置管理，确保用户不会因未正确配置代码而暴露于网络攻击之中。

总之，随着网络安全威胁的复杂性与形态不断演变，用户与服务提供商需共同努力，加强对安全漏洞的识别与防范，确保云服务的安全性和可靠性。随着新技术的发展，只有通过不断更新与强化安全控制，才能提升整个生态系统的抵御能力。

[培训]科锐逆向工程师培训第53期2025年7月8日开班！