# GWS - Persistence

{{#include ../../banners/hacktricks-training.md}}

> [!CAUTION]
> このセクションで設定を変更するすべてのアクションは、**メールへのセキュリティアラートの送信や、アカウントに同期されたモバイルへのプッシュ通知を生成します**。

## **Gmailでの持続性**

- Googleからのセキュリティ通知を**隠すためのフィルターを作成**できます
- `from: (no-reply@accounts.google.com) "Security Alert"`
- これにより、セキュリティメールがメールに届くのを防ぎます（ただし、モバイルへのプッシュ通知は防げません）

<details>

<summary>Gmailフィルターを作成する手順</summary>

(手順は[**こちら**](https://support.google.com/mail/answer/6579)から)

1. [Gmail](https://mail.google.com/)を開きます。
2. 上部の検索ボックスで、検索オプションを表示するをクリックします ![photos tune](https://lh3.googleusercontent.com/cD6YR_YvqXqNKxrWn2NAWkV6tjJtg8vfvqijKT1_9zVCrl2sAx9jROKhLqiHo2ZDYTE=w36) 。
3. 検索条件を入力します。検索が正しく機能したか確認するには、**検索**をクリックして表示されるメールを確認します。
4. 検索ウィンドウの下部で、**フィルターを作成**をクリックします。
5. フィルターに何をさせたいかを選択します。
6. **フィルターを作成**をクリックします。

現在のフィルターを確認するには、[https://mail.google.com/mail/u/0/#settings/filters](https://mail.google.com/mail/u/0/#settings/filters)で削除できます。

</details>

<figure><img src="../../images/image (331).png" alt=""><figcaption></figcaption></figure>

- **機密情報を転送するための転送先アドレスを作成**します（またはすべて） - 手動アクセスが必要です。
- [https://mail.google.com/mail/u/2/#settings/fwdandpop](https://mail.google.com/mail/u/2/#settings/fwdandpop)で転送先アドレスを作成します。
- 受信アドレスはこれを確認する必要があります。
- 次に、すべてのメールを転送し、コピーを保持するように設定します（変更を保存することを忘れないでください）：

<figure><img src="../../images/image (332).png" alt=""><figcaption></figcaption></figure>

特定のメールのみを他のメールアドレスに転送するフィルターを作成することも可能です。

## アプリパスワード

もしあなたが**Googleユーザーセッションを侵害**し、ユーザーが**2FA**を有効にしていた場合、[**アプリパスワード**](https://support.google.com/accounts/answer/185833?hl=en)を**生成**できます（手順はリンクを参照してください）。**アプリパスワードはもはやGoogleによって推奨されておらず、ユーザーが**Googleアカウントのパスワードを変更すると無効になります。**

**オープンセッションがあっても、アプリパスワードを作成するにはユーザーのパスワードを知っている必要があります。**

> [!NOTE]
> アプリパスワードは**2段階認証が有効なアカウントでのみ使用できます**。

## 2-FAの変更と類似

このページ[**https://myaccount.google.com/security**](https://myaccount.google.com/security)**で2-FAをオフにしたり、新しいデバイス（または電話番号）を登録したりすることも可能です。**\
**パスキーを生成したり（自分のデバイスを追加）、パスワードを変更したり、確認用の電話番号や回復用の電話番号を追加したり、回復用のメールを変更したり、セキュリティ質問を変更したりすることも可能です。**

> [!CAUTION]
> ユーザーの電話に**セキュリティプッシュ通知が届かないようにするために、スマートフォンからサインアウトすることができます**（ただし、それは奇妙です）なぜなら、ここから再度サインインすることはできないからです。\
> デバイスを**特定することも可能です。**

**オープンセッションがあっても、これらの設定を変更するにはユーザーのパスワードを知っている必要があります。**

## OAuthアプリによる持続性

もしあなたが**ユーザーのアカウントを侵害した場合、**すべての可能な権限を**OAuthアプリ**に付与することを**受け入れる**ことができます。唯一の問題は、Workspaceが**未審査の外部および/または内部OAuthアプリを禁止するように設定されている可能性があることです。**\
Workspaceの組織では、デフォルトで外部OAuthアプリを信頼せず、内部のものを信頼することが一般的です。したがって、**組織内で新しいOAuthアプリケーションを生成するのに十分な権限がある場合、外部アプリが禁止されている場合は、それを生成し、**その新しい内部OAuthアプリを使用して持続性を維持します**。

OAuthアプリに関する詳細は、以下のページを確認してください：

{{#ref}}
gws-google-platforms-phishing/
{{#endref}}

## 委任による持続性

アカウントを攻撃者が制御する別のアカウントに**委任する**ことができます（これを行うことが許可されている場合）。Workspaceの**組織**では、このオプションは**有効**でなければなりません。すべてのユーザーに対して無効にすることも、特定のユーザー/グループから有効にすることも、すべてのユーザーに対して有効にすることもできます（通常は一部のユーザー/グループにのみ有効にされるか、完全に無効にされます）。

<details>

<summary>Workspace管理者の場合、この機能を有効にするために確認してください</summary>

(情報は[ドキュメントからコピー](https://support.google.com/a/answer/7223765))

あなたの組織（例えば、あなたの職場や学校）の管理者として、ユーザーが自分のGmailアカウントへのアクセスを委任できるかどうかを制御します。すべての人に委任のオプションを与えることも、特定の部門の人々だけに委任を設定させることもできます。例えば、あなたは：

- 自分のGmailアカウントに管理アシスタントを委任者として追加し、彼らがあなたの代わりにメールを読み、送信できるようにします。
- グループ（例えば、営業部門）をグループに追加し、全員が1つのGmailアカウントにアクセスできるようにします。

ユーザーは、同じ組織内の別のユーザーにのみアクセスを委任できます。ドメインや組織単位に関係なく。

#### 委任の制限と制約

- **ユーザーが自分のメールボックスへのアクセスをGoogleグループに付与できる**オプション：このオプションを使用するには、委任されたアカウントのOUおよび各グループメンバーのOUで有効にする必要があります。このオプションが有効でないOUに属するグループメンバーは、委任されたアカウントにアクセスできません。
- 通常の使用では、40人の委任ユーザーが同時にGmailアカウントにアクセスできます。1人以上の委任者による平均以上の使用は、この数を減少させる可能性があります。
- Gmailに頻繁にアクセスする自動化プロセスも、同時にアカウントにアクセスできる委任者の数を減少させる可能性があります。これらのプロセスには、Gmailに頻繁にアクセスするAPIやブラウザ拡張機能が含まれます。
- 単一のGmailアカウントは最大1,000のユニークな委任者をサポートします。グループは制限に対して1つの委任者としてカウントされます。
- 委任はGmailアカウントの制限を増加させません。委任ユーザーのいるGmailアカウントは、標準のGmailアカウントの制限とポリシーを持っています。詳細については、[Gmailの制限とポリシー](https://support.google.com/a/topic/28609)を訪問してください。

#### ステップ1：ユーザーのGmail委任を有効にする

**始める前に：**特定のユーザーに設定を適用するには、彼らのアカウントを[組織単位](https://support.google.com/a/topic/1227584)に配置します。

1.  [サインイン](https://admin.google.com/)して、[Google管理コンソール](https://support.google.com/a/answer/182076)にアクセスします。

管理者アカウントを使用してサインインしてください。現在のアカウントCarlosPolop@gmail.comではありません。

2.  管理コンソールで、メニュー ![](https://storage.googleapis.com/support-kms-prod/JxKYG9DqcsormHflJJ8Z8bHuyVI5YheC0lAp)![その後](https://storage.googleapis.com/support-kms-prod/Th2Tx0uwPMOhsMPn7nRXMUo3vs6J0pto2DTn)![](https://storage.googleapis.com/support-kms-prod/ocGtUSENh4QebLpvZcmLcNRZyaTBcolMRSyl) **アプリ**![その後](https://storage.googleapis.com/support-kms-prod/Th2Tx0uwPMOhsMPn7nRXMUo3vs6J0pto2DTn)**Google Workspace**![その後](https://storage.googleapis.com/support-kms-prod/Th2Tx0uwPMOhsMPn7nRXMUo3vs6J0pto2DTn)**Gmail**![その後](https://storage.googleapis.com/support-kms-prod/Th2Tx0uwPMOhsMPn7nRXMUo3vs6J0pto2DTn)**ユーザー設定**に移動します。
3.  すべての人に設定を適用するには、最上位の組織単位を選択したままにします。そうでない場合は、子の[組織単位](https://support.google.com/a/topic/1227584)を選択します。
4.  **メール委任**をクリックします。
5.  **ユーザーがドメイン内の他のユーザーにメールボックスへのアクセスを委任できる**ボックスをチェックします。
6.  （オプション）ユーザーが自分のアカウントから送信される委任メッセージに含まれる送信者情報を指定できるようにするには、**この設定をカスタマイズできるようにする**ボックスをチェックします。
7.  委任者が送信するメッセージに含まれるデフォルトの送信者情報のオプションを選択します：
- **アカウント所有者とメールを送信した委任者を表示**—メッセージにはGmailアカウント所有者と委任者のメールアドレスが含まれます。
- **アカウント所有者のみを表示**—メッセージにはGmailアカウント所有者のメールアドレスのみが含まれます。委任者のメールアドレスは含まれません。
8.  （オプション）ユーザーがグループを委任者として追加できるようにするには、**ユーザーがGoogleグループへのメールボックスアクセスを付与できるようにする**ボックスをチェックします。
9.  **保存**をクリックします。子の組織単位を設定した場合、親の組織単位の設定を**継承**または**上書き**できる場合があります。
10. （オプション）他の組織単位のGmail委任を有効にするには、ステップ3〜9を繰り返します。

変更には最大24時間かかる場合がありますが、通常はより早く行われます。[詳細を学ぶ](https://support.google.com/a/answer/7514107)

#### ステップ2：ユーザーが自分のアカウントの委任者を設定する

委任を有効にした後、ユーザーは自分のGmail設定に移動して委任者を割り当てます。委任者はその後、ユーザーの代わりにメッセージを読み、送信し、受信できます。

詳細については、ユーザーに[メールの委任と共同作業](https://support.google.com/a/users/answer/138350)を参照させてください。

</details>

<details>

<summary>通常のユーザーから、アクセスを委任するための手順を確認してください</summary>

(情報は[**ドキュメントからコピー**](https://support.google.com/mail/answer/138350))

最大10人の委任者を追加できます。

職場、学校、または他の組織を通じてGmailを使用している場合：

- 組織内で最大1000人の委任者を追加できます。
- 通常の使用では、40人の委任者が同時にGmailアカウントにアクセスできます。
- 自動化プロセス（APIやブラウザ拡張機能など）を使用している場合、数人の委任者が同時にGmailアカウントにアクセスできます。

1. コンピュータで[Gmail](https://mail.google.com/)を開きます。Gmailアプリからは委任者を追加できません。
2. 右上で設定をクリックします ![Settings](https://lh3.googleusercontent.com/p3J-ZSPOLtuBBR_ofWTFDfdgAYQgi8mR5c76ie8XQ2wjegk7-yyU5zdRVHKybQgUlQ=w36-h36) ![その後](https://lh3.googleusercontent.com/3_l97rr0GvhSP2XV5OoCkV2ZDTIisAOczrSdzNCBxhIKWrjXjHucxNwocghoUa39gw=w36-h36) **すべての設定を表示**をクリックします。
3. **アカウントとインポート**または**アカウント**タブをクリックします。
4. "アカウントへのアクセスを付与"セクションで、**別のアカウントを追加**をクリックします。職場や学校を通じてGmailを使用している場合、組織がメールの委任を制限している可能性があります。この設定が表示されない場合は、管理者に連絡してください。
- アカウントへのアクセスを付与が表示されない場合、それは制限されています。
5. 追加したい人のメールアドレスを入力します。職場、学校、または他の組織を通じてGmailを使用している場合、管理者が許可している場合は、グループのメールアドレスを入力できます。このグループは、あなたの組織と同じドメインを持っている必要があります。グループの外部メンバーは委任アクセスを拒否されます。\
\
**重要：**委任するアカウントが新しいアカウントであるか、パスワードがリセットされた場合、管理者は最初にサインインする際にパスワードを変更する必要があるという要件をオフにする必要があります。

- [管理者がユーザーを作成する方法を学ぶ](https://support.google.com/a/answer/33310)。
- [管理者がパスワードをリセットする方法を学ぶ](https://support.google.com/a/answer/33319)。

6. **次のステップ**をクリックします ![その後](https://lh3.googleusercontent.com/QbWcYKta5vh_4-OgUeFmK-JOB0YgLLoGh69P478nE6mKdfpWQniiBabjF7FVoCVXI0g=h36) **アクセスを付与するためのメールを送信**します。

追加した人は確認を求めるメールを受け取ります。招待は1週間後に期限切れになります。

グループを追加した場合、すべてのグループメンバーは確認なしで委任者になります。

注意：委任が有効になるまで最大24時間かかる場合があります。

</details>

## Androidアプリによる持続性

もしあなたが**被害者のGoogleアカウント内にセッションを持っている場合**、**Playストア**にアクセスし、すでにストアにアップロードした**マルウェアを直接**電話に**インストール**して持続性を維持し、被害者の電話にアクセスすることができるかもしれません。

## **アプリスクリプトによる持続性**

アプリスクリプトで**時間ベースのトリガーを作成**できますので、アプリスクリプトがユーザーによって受け入れられた場合、ユーザーがアクセスしなくても**トリガーされます**。これを行う方法の詳細については、以下を確認してください：

{{#ref}}
gws-google-platforms-phishing/gws-app-scripts.md
{{#endref}}

## 参考文献

- [https://www.youtube-nocookie.com/embed/6AsVUS79gLw](https://www.youtube-nocookie.com/embed/6AsVUS79gLw) - Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic
- [https://www.youtube.com/watch?v=KTVHLolz6cE](https://www.youtube.com/watch?v=KTVHLolz6cE) - Mike Felch and Beau Bullock - OK Google, How do I Red Team GSuite?

{{#include ../../banners/hacktricks-training.md}}
