用途：该技能用于 AWS 环境提权之后的后渗透阶段，围绕数据发现与窃取、横向移动、持久化、痕迹清理四个阶段展开，适合在已获取 Admin/PowerUser 或特定服务权限后进行数据窃取、跨账户/区域移动、建立持久访问与清理痕迹。
主要能力：数据窃取覆盖 S3、RDS、DynamoDB、Redshift、EBS 快照、Secrets Manager、SSM Parameter Store、Lambda 环境变量、CloudWatch Logs、CodeCommit 等；横向移动覆盖跨账户 AssumeRole、跨区域资源复制、SSM/EC2 Instance Connect 等跨服务路径；持久化覆盖 IAM 后门用户与角色信任策略、策略版本后门、Lambda Layer/别名/异步自循环、EC2 UserData/AMI、EventBridge 定时规则、SNS 订阅等；规避部分覆盖 CloudTrail、GuardDuty、VPC Flow Logs、AWS Config 及 DNS 外传。
使用方式：需按场景加载参考文档，如数据窃取读 references/data-exfiltration.md，持久化读 references/persistence-backdoor.md。技能给出具体 AWS CLI 命令示例，例如 aws s3 ls、aws secretsmanager batch-get-secret-value、aws sts assume-role、aws ssm send-command、aws lambda publish-layer-version 等。推荐工具包括 Pacu、CloudFox、AWSRoleJuggler、Dufflebag、CloudShovel、S3Scanner。
适用场景：授权渗透测试、红队演练和云安全研究中的后渗透环节。
限制与注意：资料未说明授权范围、法律合规要求、具体收费或平台限制，使用前需自行确认合法授权；操作会留下 API 日志，高危 CloudTrail 事件与 GuardDuty 告警类型已在资料中列出，需自行评估 OPSEC 风险；AWS API 存在速率限制，资源按区域隔离，需遍历已启用区域；交叉引用 aws-pentesting、aws-iam-privesc、cloud-aksk-exploit 技能。