GWS - Workspace Pentesting

Reading time: 4 minutes

Einstiegspunkte

Google Plattformen und OAuth Apps Phishing

Überprüfen Sie, wie Sie verschiedene Google-Plattformen wie Drive, Chat, Gruppen... nutzen können, um dem Opfer einen Phishing-Link zu senden und wie man ein Google OAuth Phishing durchführt in:

GWS - Google Platforms Phishing

Passwort-Spraying

Um Passwörter mit allen E-Mails zu testen, die Sie gefunden haben (oder die Sie basierend auf einem E-Mail-Namenmuster generiert haben, das Sie möglicherweise entdeckt haben), können Sie ein Tool wie https://github.com/ustayready/CredKing verwenden (obwohl es unwartbar aussieht), das AWS Lambdas verwendet, um die IP-Adresse zu ändern.

Post-Exploitation

Wenn Sie einige Anmeldeinformationen oder die Sitzung des Benutzers kompromittiert haben, können Sie mehrere Aktionen durchführen, um auf potenziell sensible Informationen des Benutzers zuzugreifen und zu versuchen, Privilegien zu eskalieren:

GWS - Post Exploitation

GWS <-->GCP Pivoting

Lesen Sie mehr über die verschiedenen Techniken, um zwischen GWS und GCP zu pivotieren in:

GCP <--> Workspace Pivoting

GWS <--> GCPW | GCDS | Verzeichnis-Synchronisierung (AD & EntraID)

• GCPW (Google Credential Provider for Windows): Dies ist die Single Sign-On-Lösung, die Google Workspaces bereitstellt, damit Benutzer sich an ihren Windows-PCs mit ihren Workspace-Anmeldeinformationen anmelden können. Darüber hinaus werden Tokens zum Zugriff auf Google Workspace an einigen Stellen im PC gespeichert.
• GCDS (Google Cloud Directory Sync): Dies ist ein Tool, das verwendet werden kann, um Ihre Active Directory-Benutzer und -Gruppen mit Ihrem Workspace zu synchronisieren. Das Tool benötigt die Anmeldeinformationen eines Workspace-Superusers und eines privilegierten AD-Benutzers. Daher könnte es möglich sein, es auf einem Domänenserver zu finden, der von Zeit zu Zeit Benutzer synchronisiert.
• Admin Directory Sync: Es ermöglicht Ihnen, Benutzer von AD und EntraID in einem serverlosen Prozess von https://admin.google.com/ac/sync/externaldirectories zu synchronisieren.

GWS - Workspace Sync Attacks (GCPW, GCDS, GPS, Directory Sync with AD & EntraID)

Persistenz

Wenn Sie einige Anmeldeinformationen oder die Sitzung des Benutzers kompromittiert haben, überprüfen Sie diese Optionen, um die Persistenz aufrechtzuerhalten:

GWS - Persistence

Wiederherstellung eines kompromittierten Kontos

• Von allen Sitzungen abmelden
• Benutzerpasswort ändern
• Neue 2FA-Backup-Codes generieren
• App-Passwörter entfernen
• OAuth-Apps entfernen
• 2FA-Geräte entfernen
• E-Mail-Weiterleitungen entfernen
• E-Mail-Filter entfernen
• Wiederherstellungs-E-Mail/Telefonnummern entfernen
• Kompromittierte synchronisierte Smartphones entfernen
• Schadhafte Android-Apps entfernen
• Schadhafte Kontodelegationen entfernen

Referenzen

• https://www.youtube-nocookie.com/embed/6AsVUS79gLw - Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic
• https://www.youtube.com/watch?v=KTVHLolz6cE - Mike Felch und Beau Bullock - OK Google, wie mache ich Red Team GSuite?