GCP - API Keys Enum

Tip

Ucz się & ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się & ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Ucz się & ćwicz Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Wspieraj HackTricks

Podstawowe informacje

W Google Cloud Platform (GCP) klucze API to prosta zaszyfrowana sekwencja, która identyfikuje aplikację bez żadnego głównego. Służą do uzyskiwania dostępu do Google Cloud APIs, które nie wymagają kontekstu użytkownika. Oznacza to, że często są używane w scenariuszach, w których aplikacja uzyskuje dostęp do własnych danych, a nie danych użytkownika.

Ograniczenia

Możesz zastosować ograniczenia do kluczy API w celu zwiększenia bezpieczeństwa. Na przykład możesz ograniczyć klucz do używania tylko przez określone adresy IP, strony internetowe, aplikacje na Androida, aplikacje na iOS, lub ograniczyć go do określonych API lub usług w GCP.

Enumeracja

Możliwe jest zobaczenie ograniczenia klucza API (w tym ograniczenia punktów końcowych API GCP) za pomocą listy czasowników lub opisu:

gcloud services api-keys list
gcloud services api-keys describe <key-uuid>
gcloud services api-keys list --show-deleted

Note

Możliwe jest odzyskanie usuniętych kluczy przed upływem 30 dni, dlatego możesz wylistować usunięte klucze.

Privilege Escalation & Post Exploitation

GCP - Apikeys Privesc

Unauthenticated Enum

GCP - API Keys Unauthenticated Enum

Persistence

GCP - API Keys Persistence

Tip

Ucz się & ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się & ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Ucz się & ćwicz Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Wspieraj HackTricks