GWS - Persistance

Reading time: 12 minutes

tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks

caution

Toutes les actions mentionnĂ©es dans cette section qui modifient les paramĂštres gĂ©nĂ©reront une alerte de sĂ©curitĂ© Ă  l'email et mĂȘme une notification push Ă  tout mobile synchronisĂ© avec le compte.

Persistance dans Gmail

  • Vous pouvez crĂ©er des filtres pour cacher les notifications de sĂ©curitĂ© de Google
  • from: (no-reply@accounts.google.com) "Security Alert"
  • Cela empĂȘchera les emails de sĂ©curitĂ© d'atteindre l'email (mais n'empĂȘchera pas les notifications push sur le mobile)
Étapes pour crĂ©er un filtre gmail

(Instructions ici)

  1. Ouvrez Gmail.
  2. Dans la barre de recherche en haut, cliquez sur Afficher les options de recherche photos tune.
  3. Entrez vos critÚres de recherche. Si vous voulez vérifier que votre recherche a fonctionné correctement, voyez quels emails apparaissent en cliquant sur Rechercher.
  4. En bas de la fenĂȘtre de recherche, cliquez sur CrĂ©er un filtre.
  5. Choisissez ce que vous souhaitez que le filtre fasse.
  6. Cliquez sur Créer un filtre.

Vérifiez votre filtre actuel (pour les supprimer) à https://mail.google.com/mail/u/0/#settings/filters

  • CrĂ©ez une adresse de transfert pour transfĂ©rer des informations sensibles (ou tout) - Vous avez besoin d'un accĂšs manuel.
  • CrĂ©ez une adresse de transfert Ă  https://mail.google.com/mail/u/2/#settings/fwdandpop
  • L'adresse de rĂ©ception devra confirmer cela
  • Ensuite, dĂ©finissez pour transfĂ©rer tous les emails tout en gardant une copie (n'oubliez pas de cliquer sur enregistrer les modifications) :

Il est également possible de créer des filtres et de transférer uniquement des emails spécifiques à l'autre adresse email.

Mots de passe d'application

Si vous avez réussi à compromettre une session utilisateur Google et que l'utilisateur avait 2FA, vous pouvez générer un mot de passe d'application (suivez le lien pour voir les étapes). Notez que les mots de passe d'application ne sont plus recommandés par Google et sont révoqués lorsque l'utilisateur change son mot de passe de compte Google.

MĂȘme si vous avez une session ouverte, vous devrez connaĂźtre le mot de passe de l'utilisateur pour crĂ©er un mot de passe d'application.

note

Les mots de passe d'application peuvent uniquement ĂȘtre utilisĂ©s avec des comptes ayant la VĂ©rification en 2 Ă©tapes activĂ©e.

Changer 2-FA et similaire

Il est également possible de désactiver 2-FA ou d'enrÎler un nouvel appareil (ou numéro de téléphone) sur cette page https://myaccount.google.com/security.
Il est également possible de générer des clés d'accÚs (ajoutez votre propre appareil), de changer le mot de passe, d'ajouter des numéros de mobile pour les téléphones de vérification et de récupération, de changer l'email de récupération et de changer les questions de sécurité).

caution

Pour empĂȘcher les notifications push de sĂ©curitĂ© d'atteindre le tĂ©lĂ©phone de l'utilisateur, vous pourriez dĂ©connecter son smartphone (bien que cela soit Ă©trange) car vous ne pouvez pas le reconnecter depuis ici.

Il est également possible de localiser l'appareil.

MĂȘme si vous avez une session ouverte, vous devrez connaĂźtre le mot de passe de l'utilisateur pour changer ces paramĂštres.

Persistance via des applications OAuth

Si vous avez compromis le compte d'un utilisateur, vous pouvez simplement accepter d'accorder toutes les permissions possibles Ă  une application OAuth. Le seul problĂšme est que Workspace peut ĂȘtre configurĂ© pour interdire les applications OAuth externes et/ou internes non examinĂ©es.
Il est assez courant que les organisations Workspace ne fassent pas confiance par défaut aux applications OAuth externes mais fassent confiance aux internes, donc si vous avez suffisamment de permissions pour générer une nouvelle application OAuth à l'intérieur de l'organisation et que les applications externes sont interdites, générez-la et utilisez cette nouvelle application OAuth interne pour maintenir la persistance.

Consultez la page suivante pour plus d'informations sur les applications OAuth :

GWS - Google Platforms Phishing

Persistance via délégation

Vous pouvez simplement dĂ©lĂ©guer le compte Ă  un autre compte contrĂŽlĂ© par l'attaquant (si vous ĂȘtes autorisĂ© Ă  le faire). Dans les organisations Workspace, cette option doit ĂȘtre activĂ©e. Elle peut ĂȘtre dĂ©sactivĂ©e pour tout le monde, activĂ©e pour certains utilisateurs/groupes ou pour tout le monde (gĂ©nĂ©ralement, elle est seulement activĂ©e pour certains utilisateurs/groupes ou complĂštement dĂ©sactivĂ©e).

Si vous ĂȘtes un administrateur Workspace, vĂ©rifiez ceci pour activer la fonctionnalitĂ©

(Informations copiées des docs)

En tant qu'administrateur de votre organisation (par exemple, votre travail ou votre école), vous contrÎlez si les utilisateurs peuvent déléguer l'accÚs à leur compte Gmail. Vous pouvez laisser tout le monde avoir l'option de déléguer leur compte. Ou, seulement laisser certaines personnes dans certains départements configurer la délégation. Par exemple, vous pouvez :

  • Ajouter un assistant administratif en tant que dĂ©lĂ©guĂ© sur votre compte Gmail afin qu'il puisse lire et envoyer des emails en votre nom.
  • Ajouter un groupe, comme votre dĂ©partement des ventes, dans Groups en tant que dĂ©lĂ©guĂ© pour donner Ă  tout le monde accĂšs Ă  un compte Gmail.

Les utilisateurs ne peuvent dĂ©lĂ©guer l'accĂšs qu'Ă  un autre utilisateur de la mĂȘme organisation, quel que soit leur domaine ou leur unitĂ© organisationnelle.

Limites et restrictions de délégation

  • Autoriser les utilisateurs Ă  accorder l'accĂšs Ă  leur boĂźte aux lettres Ă  un groupe Google option : Pour utiliser cette option, elle doit ĂȘtre activĂ©e pour l'OU du compte dĂ©lĂ©guĂ© et pour chaque membre du groupe. Les membres du groupe appartenant Ă  une OU sans cette option activĂ©e ne peuvent pas accĂ©der au compte dĂ©lĂ©guĂ©.
  • Avec une utilisation typique, 40 utilisateurs dĂ©lĂ©guĂ©s peuvent accĂ©der Ă  un compte Gmail en mĂȘme temps. Une utilisation supĂ©rieure Ă  la moyenne par un ou plusieurs dĂ©lĂ©guĂ©s pourrait rĂ©duire ce nombre.
  • Les processus automatisĂ©s qui accĂšdent frĂ©quemment Ă  Gmail pourraient Ă©galement rĂ©duire le nombre de dĂ©lĂ©guĂ©s pouvant accĂ©der Ă  un compte en mĂȘme temps. Ces processus incluent les API ou les extensions de navigateur qui accĂšdent frĂ©quemment Ă  Gmail.
  • Un seul compte Gmail prend en charge jusqu'Ă  1 000 dĂ©lĂ©guĂ©s uniques. Un groupe dans Groups compte comme un dĂ©lĂ©guĂ© vers la limite.
  • La dĂ©lĂ©gation n'augmente pas les limites pour un compte Gmail. Les comptes Gmail avec des utilisateurs dĂ©lĂ©guĂ©s ont les limites et politiques standard des comptes Gmail. Pour plus de dĂ©tails, visitez Limites et politiques Gmail.

Étape 1 : Activer la dĂ©lĂ©gation Gmail pour vos utilisateurs

Avant de commencer : Pour appliquer le paramÚtre à certains utilisateurs, placez leurs comptes dans une unité organisationnelle.

  1. Connectez-vous Ă  votre console d'administration Google.

Connectez-vous avec un compte administrateur, pas votre compte actuel CarlosPolop@gmail.com

  1. Dans la console d'administration, allez dans Menu et ensuite Applicationset ensuiteGoogle Workspaceet ensuiteGmailet ensuiteParamĂštres utilisateur.
  2. Pour appliquer le paramÚtre à tout le monde, laissez l'unité organisationnelle supérieure sélectionnée. Sinon, sélectionnez une unité organisationnelle enfant.
  3. Cliquez sur Délégation de mail.
  4. Cochez la case Autoriser les utilisateurs à déléguer l'accÚs à leur boßte aux lettres à d'autres utilisateurs du domaine.
  5. (Optionnel) Pour permettre aux utilisateurs de spécifier quelles informations sur l'expéditeur sont incluses dans les messages délégués envoyés depuis leur compte, cochez la case Autoriser les utilisateurs à personnaliser ce paramÚtre.
  6. Sélectionnez une option pour les informations sur l'expéditeur par défaut qui sont incluses dans les messages envoyés par les délégués :
  • Afficher le propriĂ©taire du compte et le dĂ©lĂ©guĂ© qui a envoyĂ© l'email—Les messages incluent les adresses email du propriĂ©taire du compte Gmail et du dĂ©lĂ©guĂ©.
  • Afficher uniquement le propriĂ©taire du compte—Les messages incluent l'adresse email uniquement du propriĂ©taire du compte Gmail. L'adresse email du dĂ©lĂ©guĂ© n'est pas incluse.
  1. (Optionnel) Pour permettre aux utilisateurs d'ajouter un groupe dans Groups en tant que délégué, cochez la case Autoriser les utilisateurs à accorder l'accÚs à leur boßte aux lettres à un groupe Google.
  2. Cliquez sur Enregistrer. Si vous avez configurĂ© une unitĂ© organisationnelle enfant, vous pourriez ĂȘtre en mesure de HĂ©riter ou Remplacer les paramĂštres d'une unitĂ© organisationnelle parente.
  3. (Optionnel) Pour activer la délégation Gmail pour d'autres unités organisationnelles, répétez les étapes 3 à 9.

Les changements peuvent prendre jusqu'à 24 heures mais se produisent généralement plus rapidement. En savoir plus

Étape 2 : Demandez aux utilisateurs de configurer des dĂ©lĂ©guĂ©s pour leurs comptes

AprÚs avoir activé la délégation, vos utilisateurs vont dans leurs paramÚtres Gmail pour assigner des délégués. Les délégués peuvent alors lire, envoyer et recevoir des messages en votre nom.

Pour plus de détails, dirigez les utilisateurs vers Déléguer et collaborer sur des emails.

En tant qu'utilisateur régulier, vérifiez ici les instructions pour essayer de déléguer votre accÚs

(Info copiée des docs)

Vous pouvez ajouter jusqu'à 10 délégués.

Si vous utilisez Gmail via votre travail, votre école ou une autre organisation :

  • Vous pouvez ajouter jusqu'Ă  1000 dĂ©lĂ©guĂ©s au sein de votre organisation.
  • Avec une utilisation typique, 40 dĂ©lĂ©guĂ©s peuvent accĂ©der Ă  un compte Gmail en mĂȘme temps.
  • Si vous utilisez des processus automatisĂ©s, tels que des API ou des extensions de navigateur, quelques dĂ©lĂ©guĂ©s peuvent accĂ©der Ă  un compte Gmail en mĂȘme temps.
  1. Sur votre ordinateur, ouvrez Gmail. Vous ne pouvez pas ajouter de délégués depuis l'application Gmail.
  2. En haut Ă  droite, cliquez sur ParamĂštres Settings et ensuite Voir tous les paramĂštres.
  3. Cliquez sur l'onglet Comptes et importation ou Comptes.
  4. Dans la section "Accorder l'accÚs à votre compte", cliquez sur Ajouter un autre compte. Si vous utilisez Gmail via votre travail ou votre école, votre organisation peut restreindre la délégation d'email. Si vous ne voyez pas ce paramÚtre, contactez votre administrateur.
  • Si vous ne voyez pas Accorder l'accĂšs Ă  votre compte, alors c'est restreint.
  1. Entrez l'adresse email de la personne que vous souhaitez ajouter. Si vous utilisez Gmail via votre travail, votre Ă©cole ou une autre organisation, et que votre administrateur le permet, vous pouvez entrer l'adresse email d'un groupe. Ce groupe doit avoir le mĂȘme domaine que votre organisation. Les membres externes du groupe se voient refuser l'accĂšs Ă  la dĂ©lĂ©gation.

    Important : Si le compte que vous déléguez est un nouveau compte ou que le mot de passe a été réinitialisé, l'administrateur doit désactiver l'exigence de changement de mot de passe lors de votre premiÚre connexion.

6. Cliquez sur Étape suivante et ensuite Envoyer un email pour accorder l'accùs.

La personne que vous avez ajoutée recevra un email lui demandant de confirmer. L'invitation expire aprÚs une semaine.

Si vous avez ajouté un groupe, tous les membres du groupe deviendront des délégués sans avoir à confirmer.

Remarque : Il peut falloir jusqu'à 24 heures pour que la délégation commence à prendre effet.

Persistance via l'application Android

Si vous avez une session dans le compte Google des victimes, vous pouvez naviguer vers le Play Store et pourriez ĂȘtre en mesure d'installer un malware que vous avez dĂ©jĂ  tĂ©lĂ©chargĂ© sur le store directement sur le tĂ©lĂ©phone pour maintenir la persistance et accĂ©der au tĂ©lĂ©phone des victimes.

Persistance via les scripts d'application

Vous pouvez crĂ©er des dĂ©clencheurs basĂ©s sur le temps dans les scripts d'application, donc si le script d'application est acceptĂ© par l'utilisateur, il sera dĂ©clenchĂ© mĂȘme sans que l'utilisateur y accĂšde. Pour plus d'informations sur la façon de faire cela, consultez :

GWS - App Scripts

Références

tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks