# GCP - App Engine Post Exploitation

{{#include ../../../banners/hacktricks-training.md}}

## `App Engine`

Pour des informations sur App Engine, consultez :

{{#ref}}
../gcp-services/gcp-app-engine-enum.md
{{#endref}}

### `appengine.memcache.addKey` | `appengine.memcache.list` | `appengine.memcache.getKey` | `appengine.memcache.flush`

Avec ces permissions, il est possible de :

- Ajouter une clé
- Lister les clés
- Obtenir une clé
- Supprimer

> [!CAUTION]
> Cependant, je **n'ai trouvé aucun moyen d'accéder à ces informations depuis le cli**, seulement depuis la **console web** où vous devez connaître le **type de clé** et le **nom de clé**, ou depuis l'**application en cours d'exécution de l'app engine**.
>
> Si vous connaissez des moyens plus simples d'utiliser ces permissions, envoyez une Pull Request !

### `logging.views.access`

Avec cette permission, il est possible de **voir les journaux de l'App** :
```bash
gcloud app logs tail -s <name>
```
### Lire le code source

Le code source de toutes les versions et services est **stocké dans le bucket** nommé **`staging.<proj-id>.appspot.com`**. Si vous avez un accès en écriture, vous pouvez lire le code source et rechercher des **vulnérabilités** et des **informations sensibles**.

### Modifier le code source

Modifiez le code source pour voler des identifiants s'ils sont envoyés ou effectuer une attaque de défiguration web.

{{#include ../../../banners/hacktricks-training.md}}
