GCP - IAM Post Exploitation

Tip

AWS हैकिंग सीखें और अभ्यास करें:HackTricks Training AWS Red Team Expert (ARTE)
GCP हैकिंग सीखें और अभ्यास करें: HackTricks Training GCP Red Team Expert (GRTE) Azure हैकिंग सीखें और अभ्यास करें: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks का समर्थन करें

IAM

You can find further information about IAM in:

GCP - IAM, Principals & Org Policies Enum

प्रबंधन कंसोल तक पहुँच प्रदान करना

Access to the GCP management console is उपयोगकर्ता खातों को प्रदान की जाती है, service accounts को नहीं। वेब इंटरफ़ेस में लॉग इन करने के लिए, आप अपने नियंत्रण वाले किसी Google account को access दे सकते हैं। यह एक सामान्य “@gmail.com” account हो सकता है, यह target organization का सदस्य होना जरूरी नहीं है।

हालाँकि, किसी generic “@gmail.com” खाते को primitive role Owner देने के लिए, आपको वेब कंसोल का उपयोग करना होगा। gcloud error देगा अगर आप इसे Editor से ऊपर कोई permission देने की कोशिश करेंगे।

You can use the following command to grant a user the primitive role of Editor to your existing project:

gcloud projects add-iam-policy-binding [PROJECT] --member user:[EMAIL] --role roles/editor

यदि आप यहाँ सफल रहे हैं, तो वेब इंटरफ़ेस तक पहुँच कर वहाँ से अन्वेषण करने का प्रयास करें।

यह उच्चतम स्तर है जिसे आप gcloud tool का उपयोग करके असाइन कर सकते हैं।

IAM घटकों को हटाना iam.*.delete

iam.*.delete permissions (उदाहरण के लिए, iam.roles.delete, iam.serviceAccountApiKeyBindings.delete, iam.serviceAccountKeys.delete, आदि) किसी identity को महत्वपूर्ण IAM components जैसे custom roles, API key bindings, service account keys, और स्वयं service accounts को delete करने की अनुमति देते हैं। एक attacker के हाथों में, यह legitimate access mechanisms को हटाकर denial of service की स्थिति पैदा कर सकता है।

ऐसा हमला करने के लिए, उदाहरण के लिए roles को delete करने के लिए निम्न का उपयोग किया जा सकता है:

gcloud iam roles delete <ROLE_ID> --project=<PROJECT_ID>

iam.serviceAccountKeys.disable || iam.serviceAccounts.disable

iam.serviceAccountKeys.disable और iam.serviceAccounts.disable permissions सक्रिय Service Account keys या service accounts को disable करने की अनुमति देती हैं, जो हमलावर के हाथों में operations में व्यवधान डालने, denial of service पैदा करने, या वैध credentials के उपयोग को रोककर incident response को बाधित करने के लिए उपयोग की जा सकती हैं।

Service Account को disable करने के लिए, आप निम्नलिखित कमांड का उपयोग कर सकते हैं:

gcloud iam service-accounts disable <SA_EMAIL> --project=<PROJECT_ID>

Service Account की keys को disable करने के लिए, आप निम्नलिखित कमांड का उपयोग कर सकते हैं:

gcloud iam service-accounts keys disable <KEY_ID> --iam-account=<SA_EMAIL>

iam.*.undelete

iam.*.undelete permissions पहले हटाए गए तत्वों जैसे API key bindings, custom roles, या service accounts को पुनर्स्थापित करने की अनुमति देती हैं। एक attacker के हाथों में, इसका उपयोग defensive actions को उलटने (recover removed access), हटाए गए compromise vectors को पुनः स्थापित करके persistence बनाए रखने, या remediation प्रयासों से बचने के लिए किया जा सकता है, जिससे incident containment जटिल हो जाता है।

gcloud iam service-accounts undelete "${SA_ID}" --project="${PROJECT}"

Tip

AWS हैकिंग सीखें और अभ्यास करें:HackTricks Training AWS Red Team Expert (ARTE)
GCP हैकिंग सीखें और अभ्यास करें: HackTricks Training GCP Red Team Expert (GRTE) Azure हैकिंग सीखें और अभ्यास करें: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks का समर्थन करें