GCP Pentesting

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks

Informations de base

Avant de commencer le pentesting d’un environnement GCP, il y a quelques choses de base que vous devez savoir sur son fonctionnement pour vous aider à comprendre ce que vous devez faire, comment trouver des erreurs de configuration et comment les exploiter.

Des concepts tels que la hiĂ©rarchie d’organisation, les permissions et d’autres concepts de base sont expliquĂ©s dans :

GCP - Basic Information

Laboratoires pour apprendre

MĂ©thodologie de Pentester/Red Team GCP

Pour auditer un environnement GCP, il est trÚs important de savoir : quels services sont utilisés, ce qui est exposé, qui a accÚs à quoi, et comment les services internes GCP et les services externes sont connectés.

Du point de vue d’une Red Team, le premier pas pour compromettre un environnement GCP est d’obtenir des identifiants. Voici quelques idĂ©es sur comment faire cela :

  • Fuites sur github (ou similaire) - OSINT
  • IngĂ©nierie Sociale (Consultez la page SĂ©curitĂ© Workspace)
  • RĂ©utilisation de mot de passe (fuites de mots de passe)
  • VulnĂ©rabilitĂ©s dans les applications hĂ©bergĂ©es sur GCP
  • Server Side Request Forgery avec accĂšs au point de terminaison des mĂ©tadonnĂ©es
  • Lecture de fichiers locaux
  • /home/USERNAME/.config/gcloud/*
  • C:\Users\USERNAME\.config\gcloud\*
  • Tiers compromis
  • EmployĂ© interne

Ou en compromettant un service non authentifié exposé :

GCP - Unauthenticated Enum & Access

Ou si vous faites une révision, vous pourriez simplement demander des identifiants avec ces rÎles :

GCP - Permissions for a Pentest

Note

AprÚs avoir réussi à obtenir des identifiants, vous devez savoir à qui appartiennent ces identifiants, et à quoi ils ont accÚs, donc vous devez effectuer une énumération de base :

ÉnumĂ©ration de base

SSRF

Pour plus d’informations sur la façon d’énumĂ©rer les mĂ©tadonnĂ©es GCP, consultez la page hacktricks suivante :

Cloud SSRF - HackTricks

Whoami

Dans GCP, vous pouvez essayer plusieurs options pour essayer de deviner qui vous ĂȘtes :

#If you are inside a compromise machine
gcloud auth list
curl -H "Content-Type: application/x-www-form-urlencoded" -d "access_token=$(gcloud auth print-access-token)" https://www.googleapis.com/oauth2/v1/tokeninfo
gcloud auth print-identity-token #Get info from the token

#If you compromised a metadata token or somehow found an OAuth token
curl -H "Content-Type: application/x-www-form-urlencoded" -d "access_token=<token>" https://www.googleapis.com/oauth2/v1/tokeninfo

Vous pouvez Ă©galement utiliser le point de terminaison API /userinfo pour obtenir plus d’informations sur l’utilisateur :

curl -H "Content-Type: application/x-www-form-urlencoded" -H "Authorization: OAuth $(gcloud auth print-access-token)" https://www.googleapis.com/oauth2/v1/userinfo

curl -H "Content-Type: application/x-www-form-urlencoded" -H "Authorization: OAuth <access_token>" https://www.googleapis.com/oauth2/v1/userinfo

ÉnumĂ©ration d’Org

# Get organizations
gcloud organizations list #The DIRECTORY_CUSTOMER_ID is the Workspace ID
gcloud resource-manager folders list --organization <org_number> # Get folders
gcloud projects list # Get projects

Principes & ÉnumĂ©ration IAM

Si vous avez suffisamment de permissions, vĂ©rifier les privilĂšges de chaque entitĂ© Ă  l’intĂ©rieur du compte GCP vous aidera Ă  comprendre ce que vous et d’autres identitĂ©s pouvez faire et comment escalader les privilĂšges.

Si vous n’avez pas suffisamment de permissions pour Ă©numĂ©rer IAM, vous pouvez les voler par force brute pour les dĂ©couvrir.
VĂ©rifiez comment faire l’énumĂ©ration et la force brute dans :

GCP - IAM, Principals & Org Policies Enum

Note

Maintenant que vous avez des informations sur vos identifiants (et si vous ĂȘtes une Ă©quipe rouge, espĂ©rons que vous n’avez pas Ă©tĂ© dĂ©tectĂ©). Il est temps de dĂ©terminer quels services sont utilisĂ©s dans l’environnement.
Dans la section suivante, vous pouvez vĂ©rifier quelques façons d’énumĂ©rer certains services courants.

ÉnumĂ©ration des Services

GCP a une quantitĂ© Ă©tonnante de services, dans la page suivante vous trouverez des informations de base, des cheatsheets d’énumĂ©ration, comment Ă©viter la dĂ©tection, obtenir de la persistance, et d’autres astuces de post-exploitation Ă  propos de certains d’entre eux :

GCP - Services

Notez que vous n’avez pas besoin d’effectuer tout le travail manuellement, ci-dessous dans ce post vous pouvez trouver une section sur les outils automatiques.

De plus, Ă  ce stade, vous pourriez avoir dĂ©couvert plus de services exposĂ©s aux utilisateurs non authentifiĂ©s, vous pourriez ĂȘtre en mesure de les exploiter :

GCP - Unauthenticated Enum & Access

Escalade de PrivilĂšges, Post Exploitation & Persistance

La maniĂšre la plus courante une fois que vous avez obtenu des identifiants cloud ou que vous avez compromis un service fonctionnant Ă  l’intĂ©rieur d’un cloud est d’abuser des privilĂšges mal configurĂ©s que le compte compromis peut avoir. Donc, la premiĂšre chose que vous devriez faire est d’énumĂ©rer vos privilĂšges.

De plus, lors de cette Ă©numĂ©ration, rappelez-vous que les permissions peuvent ĂȘtre dĂ©finies au niveau le plus Ă©levĂ© de “l’Organisation” Ă©galement.

GCP - Privilege Escalation

GCP - Post Exploitation

GCP - Persistence

Services Exposés Publiquement

Lors de l’énumĂ©ration des services GCP, vous pourriez avoir trouvĂ© certains d’entre eux exposant des Ă©lĂ©ments Ă  Internet (ports VM/Containers, bases de donnĂ©es ou services de file d’attente, instantanĂ©s ou buckets
).
En tant que pentester/équipe rouge, vous devriez toujours vérifier si vous pouvez trouver des informations sensibles / des vulnérabilités sur eux car ils pourraient vous fournir un accÚs supplémentaire au compte AWS.

Dans ce livre, vous devriez trouver des informations sur comment trouver des services GCP exposés et comment les vérifier. Concernant comment trouver des vulnérabilités dans des services réseau exposés, je vous recommanderais de chercher le service spécifique dans :

HackTricks - HackTricks

GCP <–> Workspace Pivoting

Compromettre des principes dans une plateforme pourrait permettre Ă  un attaquant de compromettre l’autre, vĂ©rifiez-le dans :

GCP <–> Workspace Pivoting

Outils Automatiques

# Install
git clone https://github.com/google/gcp_scanner.git
cd gcp_scanner
virtualenv -p python3 venv
source venv/bin/activate
pip install -r requirements.txt
# Execute with gcloud creds
python3 __main__.py -o /tmp/output/ -g "$HOME/.config/gcloud"
  • gcp_enum : Script Bash pour Ă©numĂ©rer un environnement GCP en utilisant gcloud cli et enregistrer les rĂ©sultats dans un fichier.
  • GCP-IAM-Privilege-Escalation : Scripts pour Ă©numĂ©rer les privilĂšges IAM Ă©levĂ©s et pour escalader les privilĂšges dans GCP en les abusant (je n’ai pas pu faire fonctionner le script d’énumĂ©ration).
  • BF My GCP Permissions : Script pour forcer vos permissions.

gcloud config & debug

# Login so gcloud can use your credentials
gcloud auth login
gcloud config set project security-devbox
gcloud auth print-access-token

# Login so SDKs can use your user credentials
gcloud auth application-default login
gcloud auth application-default set-quota-project security-devbox
gcloud auth application-default print-access-token

# Update gcloud
gcloud components update

Capture gcloud, gsutil
 réseau

N’oubliez pas que vous pouvez utiliser le paramĂštre --log-http avec le gcloud cli pour imprimer les requĂȘtes que l’outil effectue. Si vous ne voulez pas que les journaux masquent la valeur du token, utilisez gcloud config set log_http_redact_token false

De plus, pour intercepter la communication :

gcloud config set proxy/address 127.0.0.1
gcloud config set proxy/port 8080
gcloud config set proxy/type http
gcloud config set auth/disable_ssl_validation True

# If you don't want to completely disable ssl_validation use:
gcloud config set core/custom_ca_certs_file cert.pem

# Back to normal
gcloud config unset proxy/address
gcloud config unset proxy/port
gcloud config unset proxy/type
gcloud config unset auth/disable_ssl_validation
gcloud config unset core/custom_ca_certs_file

Configuration du jeton OAuth dans gcloud

Pour utiliser un jeton OAuth de compte de service exfiltré à partir du point de terminaison des métadonnées, vous pouvez simplement faire :

# Via env vars
export CLOUDSDK_AUTH_ACCESS_TOKEN=<token>
gcloud projects list

# Via setup
echo "<token>" > /some/path/to/token
gcloud config set auth/access_token_file /some/path/to/token
gcloud projects list
gcloud config unset auth/access_token_file

Références

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks