GWS - Persistance
Reading time: 12 minutes
tip
Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE)
Apprenez et pratiquez le hacking Azure :
HackTricks Training Azure Red Team Expert (AzRTE)
Soutenir HackTricks
- Vérifiez les plans d'abonnement !
- Rejoignez le đŹ groupe Discord ou le groupe telegram ou suivez-nous sur Twitter đŠ @hacktricks_live.
- Partagez des astuces de hacking en soumettant des PR au HackTricks et HackTricks Cloud dépÎts github.
caution
Toutes les actions mentionnĂ©es dans cette section qui modifient les paramĂštres gĂ©nĂ©reront une alerte de sĂ©curitĂ© Ă l'email et mĂȘme une notification push Ă tout mobile synchronisĂ© avec le compte.
Persistance dans Gmail
- Vous pouvez créer des filtres pour cacher les notifications de sécurité de Google
from: (no-reply@accounts.google.com) "Security Alert"
- Cela empĂȘchera les emails de sĂ©curitĂ© d'atteindre l'email (mais n'empĂȘchera pas les notifications push sur le mobile)
Ătapes pour crĂ©er un filtre gmail
(Instructions ici)
- Ouvrez Gmail.
- Dans la barre de recherche en haut, cliquez sur Afficher les options de recherche
.
- Entrez vos critÚres de recherche. Si vous voulez vérifier que votre recherche a fonctionné correctement, voyez quels emails apparaissent en cliquant sur Rechercher.
- En bas de la fenĂȘtre de recherche, cliquez sur CrĂ©er un filtre.
- Choisissez ce que vous souhaitez que le filtre fasse.
- Cliquez sur Créer un filtre.
Vérifiez votre filtre actuel (pour les supprimer) à https://mail.google.com/mail/u/0/#settings/filters
.png)
- Créez une adresse de transfert pour transférer des informations sensibles (ou tout) - Vous avez besoin d'un accÚs manuel.
- Créez une adresse de transfert à https://mail.google.com/mail/u/2/#settings/fwdandpop
- L'adresse de réception devra confirmer cela
- Ensuite, définissez pour transférer tous les emails tout en gardant une copie (n'oubliez pas de cliquer sur enregistrer les modifications) :
.png)
Il est également possible de créer des filtres et de transférer uniquement des emails spécifiques à l'autre adresse email.
Mots de passe d'application
Si vous avez réussi à compromettre une session utilisateur Google et que l'utilisateur avait 2FA, vous pouvez générer un mot de passe d'application (suivez le lien pour voir les étapes). Notez que les mots de passe d'application ne sont plus recommandés par Google et sont révoqués lorsque l'utilisateur change son mot de passe de compte Google.
MĂȘme si vous avez une session ouverte, vous devrez connaĂźtre le mot de passe de l'utilisateur pour crĂ©er un mot de passe d'application.
note
Les mots de passe d'application peuvent uniquement ĂȘtre utilisĂ©s avec des comptes ayant la VĂ©rification en 2 Ă©tapes activĂ©e.
Changer 2-FA et similaire
Il est également possible de désactiver 2-FA ou d'enrÎler un nouvel appareil (ou numéro de téléphone) sur cette page https://myaccount.google.com/security.
Il est également possible de générer des clés d'accÚs (ajoutez votre propre appareil), de changer le mot de passe, d'ajouter des numéros de mobile pour les téléphones de vérification et de récupération, de changer l'email de récupération et de changer les questions de sécurité).
caution
Pour empĂȘcher les notifications push de sĂ©curitĂ© d'atteindre le tĂ©lĂ©phone de l'utilisateur, vous pourriez dĂ©connecter son smartphone (bien que cela soit Ă©trange) car vous ne pouvez pas le reconnecter depuis ici.
Il est également possible de localiser l'appareil.
MĂȘme si vous avez une session ouverte, vous devrez connaĂźtre le mot de passe de l'utilisateur pour changer ces paramĂštres.
Persistance via des applications OAuth
Si vous avez compromis le compte d'un utilisateur, vous pouvez simplement accepter d'accorder toutes les permissions possibles Ă une application OAuth. Le seul problĂšme est que Workspace peut ĂȘtre configurĂ© pour interdire les applications OAuth externes et/ou internes non examinĂ©es.
Il est assez courant que les organisations Workspace ne fassent pas confiance par défaut aux applications OAuth externes mais fassent confiance aux internes, donc si vous avez suffisamment de permissions pour générer une nouvelle application OAuth à l'intérieur de l'organisation et que les applications externes sont interdites, générez-la et utilisez cette nouvelle application OAuth interne pour maintenir la persistance.
Consultez la page suivante pour plus d'informations sur les applications OAuth :
GWS - Google Platforms Phishing
Persistance via délégation
Vous pouvez simplement dĂ©lĂ©guer le compte Ă un autre compte contrĂŽlĂ© par l'attaquant (si vous ĂȘtes autorisĂ© Ă le faire). Dans les organisations Workspace, cette option doit ĂȘtre activĂ©e. Elle peut ĂȘtre dĂ©sactivĂ©e pour tout le monde, activĂ©e pour certains utilisateurs/groupes ou pour tout le monde (gĂ©nĂ©ralement, elle est seulement activĂ©e pour certains utilisateurs/groupes ou complĂštement dĂ©sactivĂ©e).
Si vous ĂȘtes un administrateur Workspace, vĂ©rifiez ceci pour activer la fonctionnalitĂ©
(Informations copiées des docs)
En tant qu'administrateur de votre organisation (par exemple, votre travail ou votre école), vous contrÎlez si les utilisateurs peuvent déléguer l'accÚs à leur compte Gmail. Vous pouvez laisser tout le monde avoir l'option de déléguer leur compte. Ou, seulement laisser certaines personnes dans certains départements configurer la délégation. Par exemple, vous pouvez :
- Ajouter un assistant administratif en tant que délégué sur votre compte Gmail afin qu'il puisse lire et envoyer des emails en votre nom.
- Ajouter un groupe, comme votre département des ventes, dans Groups en tant que délégué pour donner à tout le monde accÚs à un compte Gmail.
Les utilisateurs ne peuvent dĂ©lĂ©guer l'accĂšs qu'Ă un autre utilisateur de la mĂȘme organisation, quel que soit leur domaine ou leur unitĂ© organisationnelle.
Limites et restrictions de délégation
- Autoriser les utilisateurs Ă accorder l'accĂšs Ă leur boĂźte aux lettres Ă un groupe Google option : Pour utiliser cette option, elle doit ĂȘtre activĂ©e pour l'OU du compte dĂ©lĂ©guĂ© et pour chaque membre du groupe. Les membres du groupe appartenant Ă une OU sans cette option activĂ©e ne peuvent pas accĂ©der au compte dĂ©lĂ©guĂ©.
- Avec une utilisation typique, 40 utilisateurs dĂ©lĂ©guĂ©s peuvent accĂ©der Ă un compte Gmail en mĂȘme temps. Une utilisation supĂ©rieure Ă la moyenne par un ou plusieurs dĂ©lĂ©guĂ©s pourrait rĂ©duire ce nombre.
- Les processus automatisĂ©s qui accĂšdent frĂ©quemment Ă Gmail pourraient Ă©galement rĂ©duire le nombre de dĂ©lĂ©guĂ©s pouvant accĂ©der Ă un compte en mĂȘme temps. Ces processus incluent les API ou les extensions de navigateur qui accĂšdent frĂ©quemment Ă Gmail.
- Un seul compte Gmail prend en charge jusqu'à 1 000 délégués uniques. Un groupe dans Groups compte comme un délégué vers la limite.
- La délégation n'augmente pas les limites pour un compte Gmail. Les comptes Gmail avec des utilisateurs délégués ont les limites et politiques standard des comptes Gmail. Pour plus de détails, visitez Limites et politiques Gmail.
Ătape 1 : Activer la dĂ©lĂ©gation Gmail pour vos utilisateurs
Avant de commencer : Pour appliquer le paramÚtre à certains utilisateurs, placez leurs comptes dans une unité organisationnelle.
Connectez-vous avec un compte administrateur, pas votre compte actuel CarlosPolop@gmail.com
- Dans la console d'administration, allez dans Menu
Applications
Google Workspace
Gmail
ParamĂštres utilisateur.
- Pour appliquer le paramÚtre à tout le monde, laissez l'unité organisationnelle supérieure sélectionnée. Sinon, sélectionnez une unité organisationnelle enfant.
- Cliquez sur Délégation de mail.
- Cochez la case Autoriser les utilisateurs à déléguer l'accÚs à leur boßte aux lettres à d'autres utilisateurs du domaine.
- (Optionnel) Pour permettre aux utilisateurs de spécifier quelles informations sur l'expéditeur sont incluses dans les messages délégués envoyés depuis leur compte, cochez la case Autoriser les utilisateurs à personnaliser ce paramÚtre.
- Sélectionnez une option pour les informations sur l'expéditeur par défaut qui sont incluses dans les messages envoyés par les délégués :
- Afficher le propriĂ©taire du compte et le dĂ©lĂ©guĂ© qui a envoyĂ© l'emailâLes messages incluent les adresses email du propriĂ©taire du compte Gmail et du dĂ©lĂ©guĂ©.
- Afficher uniquement le propriĂ©taire du compteâLes messages incluent l'adresse email uniquement du propriĂ©taire du compte Gmail. L'adresse email du dĂ©lĂ©guĂ© n'est pas incluse.
- (Optionnel) Pour permettre aux utilisateurs d'ajouter un groupe dans Groups en tant que délégué, cochez la case Autoriser les utilisateurs à accorder l'accÚs à leur boßte aux lettres à un groupe Google.
- Cliquez sur Enregistrer. Si vous avez configurĂ© une unitĂ© organisationnelle enfant, vous pourriez ĂȘtre en mesure de HĂ©riter ou Remplacer les paramĂštres d'une unitĂ© organisationnelle parente.
- (Optionnel) Pour activer la délégation Gmail pour d'autres unités organisationnelles, répétez les étapes 3 à 9.
Les changements peuvent prendre jusqu'à 24 heures mais se produisent généralement plus rapidement. En savoir plus
Ătape 2 : Demandez aux utilisateurs de configurer des dĂ©lĂ©guĂ©s pour leurs comptes
AprÚs avoir activé la délégation, vos utilisateurs vont dans leurs paramÚtres Gmail pour assigner des délégués. Les délégués peuvent alors lire, envoyer et recevoir des messages en votre nom.
Pour plus de détails, dirigez les utilisateurs vers Déléguer et collaborer sur des emails.
En tant qu'utilisateur régulier, vérifiez ici les instructions pour essayer de déléguer votre accÚs
(Info copiée des docs)
Vous pouvez ajouter jusqu'à 10 délégués.
Si vous utilisez Gmail via votre travail, votre école ou une autre organisation :
- Vous pouvez ajouter jusqu'à 1000 délégués au sein de votre organisation.
- Avec une utilisation typique, 40 dĂ©lĂ©guĂ©s peuvent accĂ©der Ă un compte Gmail en mĂȘme temps.
- Si vous utilisez des processus automatisĂ©s, tels que des API ou des extensions de navigateur, quelques dĂ©lĂ©guĂ©s peuvent accĂ©der Ă un compte Gmail en mĂȘme temps.
- Sur votre ordinateur, ouvrez Gmail. Vous ne pouvez pas ajouter de délégués depuis l'application Gmail.
- En haut Ă droite, cliquez sur ParamĂštres
Voir tous les paramĂštres.
- Cliquez sur l'onglet Comptes et importation ou Comptes.
- Dans la section "Accorder l'accÚs à votre compte", cliquez sur Ajouter un autre compte. Si vous utilisez Gmail via votre travail ou votre école, votre organisation peut restreindre la délégation d'email. Si vous ne voyez pas ce paramÚtre, contactez votre administrateur.
- Si vous ne voyez pas Accorder l'accĂšs Ă votre compte, alors c'est restreint.
- Entrez l'adresse email de la personne que vous souhaitez ajouter. Si vous utilisez Gmail via votre travail, votre Ă©cole ou une autre organisation, et que votre administrateur le permet, vous pouvez entrer l'adresse email d'un groupe. Ce groupe doit avoir le mĂȘme domaine que votre organisation. Les membres externes du groupe se voient refuser l'accĂšs Ă la dĂ©lĂ©gation.
Important : Si le compte que vous déléguez est un nouveau compte ou que le mot de passe a été réinitialisé, l'administrateur doit désactiver l'exigence de changement de mot de passe lors de votre premiÚre connexion.
- En savoir plus sur la création d'un utilisateur par un administrateur.
- En savoir plus sur la réinitialisation des mots de passe par un administrateur.
6. Cliquez sur Ătape suivante Envoyer un email pour accorder l'accĂšs.
La personne que vous avez ajoutée recevra un email lui demandant de confirmer. L'invitation expire aprÚs une semaine.
Si vous avez ajouté un groupe, tous les membres du groupe deviendront des délégués sans avoir à confirmer.
Remarque : Il peut falloir jusqu'à 24 heures pour que la délégation commence à prendre effet.
Persistance via l'application Android
Si vous avez une session dans le compte Google des victimes, vous pouvez naviguer vers le Play Store et pourriez ĂȘtre en mesure d'installer un malware que vous avez dĂ©jĂ tĂ©lĂ©chargĂ© sur le store directement sur le tĂ©lĂ©phone pour maintenir la persistance et accĂ©der au tĂ©lĂ©phone des victimes.
Persistance via les scripts d'application
Vous pouvez crĂ©er des dĂ©clencheurs basĂ©s sur le temps dans les scripts d'application, donc si le script d'application est acceptĂ© par l'utilisateur, il sera dĂ©clenchĂ© mĂȘme sans que l'utilisateur y accĂšde. Pour plus d'informations sur la façon de faire cela, consultez :
Références
- https://www.youtube-nocookie.com/embed/6AsVUS79gLw - Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic
- https://www.youtube.com/watch?v=KTVHLolz6cE - Mike Felch et Beau Bullock - OK Google, comment puis-je Red Team GSuite ?
tip
Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE)
Apprenez et pratiquez le hacking Azure :
HackTricks Training Azure Red Team Expert (AzRTE)
Soutenir HackTricks
- Vérifiez les plans d'abonnement !
- Rejoignez le đŹ groupe Discord ou le groupe telegram ou suivez-nous sur Twitter đŠ @hacktricks_live.
- Partagez des astuces de hacking en soumettant des PR au HackTricks et HackTricks Cloud dépÎts github.