GCP - Orgpolicy Privesc

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)
Az Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin

orgpolicy

orgpolicy.policy.set

Bir saldırgan orgpolicy.policy.set yetkisini kullanarak organizasyon politikalarını manipüle edebilir; bu da belirli işlemleri engelleyen bazı kısıtlamaları kaldırmasına olanak tanır. Örneğin, appengine.disableCodeDownload kısıtlaması genellikle App Engine kaynak kodunun indirilmesini engeller. Ancak orgpolicy.policy.set kullanılarak saldırgan bu kısıtlamayı devre dışı bırakabilir ve böylece başlangıçta korunuyor olsa bile kaynak kodunu indirme erişimi elde edebilir.

Org policy bilgilerini al ve zorlamayı devre dışı bırak ```bash # Get info gcloud resource-manager org-policies describe [--folder | --organization | --project ]

Disable

gcloud resource-manager org-policies disable-enforce [–folder | –organization | –project ]

</details>

Bu yöntem için bir python scripti [burada](https://github.com/RhinoSecurityLabs/GCP-IAM-Privilege-Escalation/blob/master/ExploitScripts/orgpolicy.policy.set.py) bulunabilir.

### `orgpolicy.policy.set`, `iam.serviceAccounts.actAs`

Genellikle farklı bir projeye ait bir service account'u bir kaynağa eklemek mümkün değildir çünkü bu işlemi engelleyen **`iam.disableCrossProjectServiceAccountUsage`** adlı bir kısıtlama uygulanır.

Bu kısıtlamanın uygulanıp uygulanmadığını aşağıdaki komutu çalıştırarak doğrulayabilirsiniz:

<details>
<summary>Projeler arası service account kısıtlamasını doğrulayın</summary>
```bash
gcloud resource-manager org-policies describe \
constraints/iam.disableCrossProjectServiceAccountUsage \
--project=<project-id> \
--effective

booleanPolicy:
enforced: true
constraint: constraints/iam.disableCrossProjectServiceAccountUsage

Bu, bir attacker’ın iam.serviceAccounts.actAs iznini kötüye kullanarak —örneğin yeni bir VM başlatmak için gereken ek altyapı izinlerine sahip olmadan— başka bir projeden bir service account’u taklit etmesini engeller; bu durum privilege escalation ile sonuçlanabilir.

Ancak orgpolicy.policy.set izinlerine sahip bir attacker, iam.disableServiceAccountProjectWideAccess kısıtlamasını devre dışı bırakarak bu sınırlamayı aşabilir. Bu, attacker’ın başka bir projeden bir service account’u kendi projesindeki bir resource’a eklemesine izin verir ve böylece ayrıcalıklarını etkili bir şekilde yükseltir.

Projeler arası service account kısıtlamasını devre dışı bırak ```bash gcloud resource-manager org-policies disable-enforce \ iam.disableCrossProjectServiceAccountUsage \ --project= ```

Kaynaklar

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)
Az Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin