GCP - Filestore Enum

Reading time: 5 minutes

Basic Information

Google Cloud Filestore एक managed file storage service है जो उन अनुप्रयोगों के लिए तैयार की गई है जिन्हें filesystem interface और डेटा के लिए एक साझा filesystem की आवश्यकता होती है। यह सेवा उच्च-प्रदर्शन फ़ाइल शेयर प्रदान करके उत्कृष्टता प्राप्त करती है, जिन्हें विभिन्न GCP सेवाओं के साथ एकीकृत किया जा सकता है। इसकी उपयोगिता उन परिदृश्यों में चमकती है जहां पारंपरिक फ़ाइल प्रणाली इंटरफेस और अर्थशास्त्र महत्वपूर्ण होते हैं, जैसे कि मीडिया प्रोसेसिंग, सामग्री प्रबंधन, और डेटाबेस का बैकअप।

आप इसे किसी अन्य NFS shared document repository के रूप में सोच सकते हैं - संवेदनशील जानकारी का एक संभावित स्रोत।

Connections

जब आप एक Filestore उदाहरण बनाते हैं, तो यह नेटवर्क का चयन करना संभव है जहां यह सुलभ होगा।

इसके अलावा, डिफ़ॉल्ट रूप से चयनित VPC नेटवर्क और क्षेत्र पर सभी क्लाइंट इसे एक्सेस कर सकेंगे, हालाँकि, इसे IP पते या रेंज द्वारा भी सीमित करना संभव है और उपयोगकर्ता को एक्सेस विशेषाधिकार (Admin, Admin Viewer, Editor, Viewer) निर्दिष्ट करना होगा जो क्लाइंट को IP पते के आधार पर प्राप्त होगा।

यह एक Private Service Access Connection के माध्यम से भी सुलभ हो सकता है:

• ये VPC नेटवर्क के अनुसार हैं और सभी प्रबंधित सेवाओं जैसे Memorystore, Tensorflow और SQL के बीच उपयोग किए जा सकते हैं।
• ये आपके VPC नेटवर्क और Google द्वारा स्वामित्व वाले नेटवर्क के बीच VPC peering के माध्यम से हैं, जिससे आपके उदाहरण और सेवाएँ विशेष रूप से आंतरिक IP पते का उपयोग करके संवाद कर सकती हैं।
• सेवा-उत्पादक पक्ष पर आपके लिए एक अलग परियोजना बनाते हैं, जिसका अर्थ है कि कोई अन्य ग्राहक इसे साझा नहीं करता। आपको केवल उन संसाधनों के लिए बिल किया जाएगा जिन्हें आप प्रावधान करते हैं।
• VPC peering आपके VPC में नए मार्गों को आयात करेगा।

Backups

File shares के बैकअप बनाना संभव है। इन्हें बाद में मूल नए Fileshare उदाहरण में या नए में पुनर्स्थापित किया जा सकता है।

Encryption

डिफ़ॉल्ट रूप से एक Google-managed encryption key का उपयोग डेटा को एन्क्रिप्ट करने के लिए किया जाएगा, लेकिन एक Customer-managed encryption key (CMEK) का चयन करना संभव है।

Enumeration

यदि आप परियोजना में एक filestore उपलब्ध पाते हैं, तो आप इसे अपने समझौता किए गए Compute Instance से mount कर सकते हैं। यह देखने के लिए निम्नलिखित कमांड का उपयोग करें कि क्या कोई मौजूद है।

# Instances
gcloud filestore instances list # Check the IP address
gcloud filestore instances describe --zone <zone> <name> # Check IP and access restrictions

# Backups
gcloud filestore backups list
gcloud filestore backups describe --region <region> <backup>

# Search for NFS shares in a VPC subnet
sudo nmap -n -T5 -Pn -p 2049 --min-parallelism 100 --min-rate 1000 --open 10.99.160.2/20

# Get peerings
gcloud compute networks peerings list
# Get routes imported from a peering
gcloud compute networks peerings list-routes <peering-name> --network=<network-name> --region=<region> --direction=INCOMING

Privilege Escalation & Post Exploitation

GCP में इस सेवा का सीधे दुरुपयोग करके विशेषाधिकार बढ़ाने के तरीके नहीं हैं, लेकिन कुछ Post Exploitation tricks का उपयोग करके डेटा तक पहुंच प्राप्त करना संभव है और शायद आप विशेषाधिकार बढ़ाने के लिए कुछ क्रेडेंशियल्स पा सकें:

GCP - Filestore Post Exploitation

Persistence

GCP - Filestore Persistence