GWS - Persistence

Reading time: 19 minutes

tip

AWSハッキングを学び、実践する:HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する:HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する:HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

caution

このセクションで設定を変更するすべてのアクションは、メールへのセキュリティアラートの送信や、アカウントに同期されたモバイルへのプッシュ通知を生成します

Gmailでの持続性

  • Googleからのセキュリティ通知を隠すためのフィルターを作成できます
  • from: (no-reply@accounts.google.com) "Security Alert"
  • これにより、セキュリティメールがメールに届くのを防ぎます(ただし、モバイルへのプッシュ通知は防げません)
Gmailフィルターを作成する手順

(手順はこちらから)

  1. Gmailを開きます。
  2. 上部の検索ボックスで、検索オプションを表示するをクリックします photos tune
  3. 検索条件を入力します。検索が正しく機能したか確認するには、検索をクリックして表示されるメールを確認します。
  4. 検索ウィンドウの下部で、フィルターを作成をクリックします。
  5. フィルターに何をさせたいかを選択します。
  6. フィルターを作成をクリックします。

現在のフィルターを確認するには、https://mail.google.com/mail/u/0/#settings/filtersで削除できます。

  • 機密情報を転送するための転送先アドレスを作成します(またはすべて) - 手動アクセスが必要です。
  • https://mail.google.com/mail/u/2/#settings/fwdandpopで転送先アドレスを作成します。
  • 受信アドレスはこれを確認する必要があります。
  • 次に、すべてのメールを転送し、コピーを保持するように設定します(変更を保存することを忘れないでください):

特定のメールのみを他のメールアドレスに転送するフィルターを作成することも可能です。

アプリパスワード

もしあなたがGoogleユーザーセッションを侵害し、ユーザーが2FAを有効にしていた場合、アプリパスワード生成できます(手順はリンクを参照してください)。アプリパスワードはもはやGoogleによって推奨されておらず、ユーザーがGoogleアカウントのパスワードを変更すると無効になります。**

オープンセッションがあっても、アプリパスワードを作成するにはユーザーのパスワードを知っている必要があります。

note

アプリパスワードは2段階認証が有効なアカウントでのみ使用できます

2-FAの変更と類似

このページhttps://myaccount.google.com/securityで2-FAをオフにしたり、新しいデバイス(または電話番号)を登録したりすることも可能です。
パスキーを生成したり(自分のデバイスを追加)、パスワードを変更したり、確認用の電話番号や回復用の電話番号を追加したり、回復用のメールを変更したり、セキュリティ質問を変更したりすることも可能です。

caution

ユーザーの電話にセキュリティプッシュ通知が届かないようにするために、スマートフォンからサインアウトすることができます(ただし、それは奇妙です)なぜなら、ここから再度サインインすることはできないからです。
デバイスを特定することも可能です。

オープンセッションがあっても、これらの設定を変更するにはユーザーのパスワードを知っている必要があります。

OAuthアプリによる持続性

もしあなたがユーザーのアカウントを侵害した場合、すべての可能な権限をOAuthアプリに付与することを受け入れることができます。唯一の問題は、Workspaceが未審査の外部および/または内部OAuthアプリを禁止するように設定されている可能性があることです。
Workspaceの組織では、デフォルトで外部OAuthアプリを信頼せず、内部のものを信頼することが一般的です。したがって、**組織内で新しいOAuthアプリケーションを生成するのに十分な権限がある場合、外部アプリが禁止されている場合は、それを生成し、その新しい内部OAuthアプリを使用して持続性を維持します

OAuthアプリに関する詳細は、以下のページを確認してください:

GWS - Google Platforms Phishing

委任による持続性

アカウントを攻撃者が制御する別のアカウントに委任することができます(これを行うことが許可されている場合)。Workspaceの組織では、このオプションは有効でなければなりません。すべてのユーザーに対して無効にすることも、特定のユーザー/グループから有効にすることも、すべてのユーザーに対して有効にすることもできます(通常は一部のユーザー/グループにのみ有効にされるか、完全に無効にされます)。

Workspace管理者の場合、この機能を有効にするために確認してください

(情報はドキュメントからコピー)

あなたの組織(例えば、あなたの職場や学校)の管理者として、ユーザーが自分のGmailアカウントへのアクセスを委任できるかどうかを制御します。すべての人に委任のオプションを与えることも、特定の部門の人々だけに委任を設定させることもできます。例えば、あなたは:

  • 自分のGmailアカウントに管理アシスタントを委任者として追加し、彼らがあなたの代わりにメールを読み、送信できるようにします。
  • グループ(例えば、営業部門)をグループに追加し、全員が1つのGmailアカウントにアクセスできるようにします。

ユーザーは、同じ組織内の別のユーザーにのみアクセスを委任できます。ドメインや組織単位に関係なく。

委任の制限と制約

  • ユーザーが自分のメールボックスへのアクセスをGoogleグループに付与できるオプション:このオプションを使用するには、委任されたアカウントのOUおよび各グループメンバーのOUで有効にする必要があります。このオプションが有効でないOUに属するグループメンバーは、委任されたアカウントにアクセスできません。
  • 通常の使用では、40人の委任ユーザーが同時にGmailアカウントにアクセスできます。1人以上の委任者による平均以上の使用は、この数を減少させる可能性があります。
  • Gmailに頻繁にアクセスする自動化プロセスも、同時にアカウントにアクセスできる委任者の数を減少させる可能性があります。これらのプロセスには、Gmailに頻繁にアクセスするAPIやブラウザ拡張機能が含まれます。
  • 単一のGmailアカウントは最大1,000のユニークな委任者をサポートします。グループは制限に対して1つの委任者としてカウントされます。
  • 委任はGmailアカウントの制限を増加させません。委任ユーザーのいるGmailアカウントは、標準のGmailアカウントの制限とポリシーを持っています。詳細については、Gmailの制限とポリシーを訪問してください。

ステップ1:ユーザーのGmail委任を有効にする

**始める前に:**特定のユーザーに設定を適用するには、彼らのアカウントを組織単位に配置します。

  1. サインインして、Google管理コンソールにアクセスします。

管理者アカウントを使用してサインインしてください。現在のアカウントCarlosPolop@gmail.comではありません。

  1. 管理コンソールで、メニュー その後 アプリその後Google Workspaceその後Gmailその後ユーザー設定に移動します。
  2. すべての人に設定を適用するには、最上位の組織単位を選択したままにします。そうでない場合は、子の組織単位を選択します。
  3. メール委任をクリックします。
  4. ユーザーがドメイン内の他のユーザーにメールボックスへのアクセスを委任できるボックスをチェックします。
  5. (オプション)ユーザーが自分のアカウントから送信される委任メッセージに含まれる送信者情報を指定できるようにするには、この設定をカスタマイズできるようにするボックスをチェックします。
  6. 委任者が送信するメッセージに含まれるデフォルトの送信者情報のオプションを選択します:
  • アカウント所有者とメールを送信した委任者を表示—メッセージにはGmailアカウント所有者と委任者のメールアドレスが含まれます。
  • アカウント所有者のみを表示—メッセージにはGmailアカウント所有者のメールアドレスのみが含まれます。委任者のメールアドレスは含まれません。
  1. (オプション)ユーザーがグループを委任者として追加できるようにするには、ユーザーがGoogleグループへのメールボックスアクセスを付与できるようにするボックスをチェックします。
  2. 保存をクリックします。子の組織単位を設定した場合、親の組織単位の設定を継承または上書きできる場合があります。
  3. (オプション)他の組織単位のGmail委任を有効にするには、ステップ3〜9を繰り返します。

変更には最大24時間かかる場合がありますが、通常はより早く行われます。詳細を学ぶ

ステップ2:ユーザーが自分のアカウントの委任者を設定する

委任を有効にした後、ユーザーは自分のGmail設定に移動して委任者を割り当てます。委任者はその後、ユーザーの代わりにメッセージを読み、送信し、受信できます。

詳細については、ユーザーにメールの委任と共同作業を参照させてください。

通常のユーザーから、アクセスを委任するための手順を確認してください

(情報はドキュメントからコピー)

最大10人の委任者を追加できます。

職場、学校、または他の組織を通じてGmailを使用している場合:

  • 組織内で最大1000人の委任者を追加できます。
  • 通常の使用では、40人の委任者が同時にGmailアカウントにアクセスできます。
  • 自動化プロセス(APIやブラウザ拡張機能など)を使用している場合、数人の委任者が同時にGmailアカウントにアクセスできます。
  1. コンピュータでGmailを開きます。Gmailアプリからは委任者を追加できません。
  2. 右上で設定をクリックします Settings その後 すべての設定を表示をクリックします。
  3. アカウントとインポートまたはアカウントタブをクリックします。
  4. "アカウントへのアクセスを付与"セクションで、別のアカウントを追加をクリックします。職場や学校を通じてGmailを使用している場合、組織がメールの委任を制限している可能性があります。この設定が表示されない場合は、管理者に連絡してください。
  • アカウントへのアクセスを付与が表示されない場合、それは制限されています。
  1. 追加したい人のメールアドレスを入力します。職場、学校、または他の組織を通じてGmailを使用している場合、管理者が許可している場合は、グループのメールアドレスを入力できます。このグループは、あなたの組織と同じドメインを持っている必要があります。グループの外部メンバーは委任アクセスを拒否されます。

    **重要:**委任するアカウントが新しいアカウントであるか、パスワードがリセットされた場合、管理者は最初にサインインする際にパスワードを変更する必要があるという要件をオフにする必要があります。
  1. 次のステップをクリックします その後 アクセスを付与するためのメールを送信します。

追加した人は確認を求めるメールを受け取ります。招待は1週間後に期限切れになります。

グループを追加した場合、すべてのグループメンバーは確認なしで委任者になります。

注意:委任が有効になるまで最大24時間かかる場合があります。

Androidアプリによる持続性

もしあなたが被害者のGoogleアカウント内にセッションを持っている場合Playストアにアクセスし、すでにストアにアップロードしたマルウェアを直接電話にインストールして持続性を維持し、被害者の電話にアクセスすることができるかもしれません。

アプリスクリプトによる持続性

アプリスクリプトで時間ベースのトリガーを作成できますので、アプリスクリプトがユーザーによって受け入れられた場合、ユーザーがアクセスしなくてもトリガーされます。これを行う方法の詳細については、以下を確認してください:

GWS - App Scripts

参考文献

tip

AWSハッキングを学び、実践する:HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する:HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する:HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする