# GCP - Cloud Build Ongeauthentiseerde Enum

{{#include ../../../banners/hacktricks-training.md}}

## Cloud Build

Vir meer inligting oor Cloud Build, kyk:

{{#ref}}
../gcp-services/gcp-cloud-build-enum.md
{{#endref}}

### cloudbuild.yml

As jy skrywe toegang oor 'n repository wat 'n lêer genaamd **`cloudbuild.yml`** bevat, kan jy hierdie lêer **backdoor**, wat die **opdragte spesifiseer wat binne 'n Cloud Build uitgevoer gaan word** en die geheime ontgin, wat gedoen word, en ook die **Cloud Build diensrekening** kompromenteer.

> [!NOTE]
> Let daarop dat GCP die opsie het om administrateurs toe te laat om die uitvoering van boustelsels vanaf eksterne PR's te beheer via "Comment Control". Comment Control is 'n kenmerk waar samewerkers/projek eienaars **moet kommentaar lewer “/gcbrun” om die bou te aktiveer** teen die PR en die gebruik van hierdie kenmerk voorkom inherent dat enigiemand op die internet jou boustelsels kan aktiveer.

Vir sommige verwante inligting kan jy die bladsy oor hoe om Github Actions aan te val (soortgelyk aan hierdie) nagaan:

{{#ref}}
../../../pentesting-ci-cd/github-security/abusing-github-actions/
{{#endref}}

### PR Goedkeuringe

Wanneer die trigger PR is omdat **enigiemand PR's na openbare repositories kan uitvoer**, sou dit baie gevaarlik wees om net **die uitvoering van die trigger met enige PR toe te laat**. Daarom sal die uitvoering standaard slegs **outomaties wees vir eienaars en samewerkers**, en om die trigger met ander gebruikers se PR's uit te voer, moet 'n eienaar of samewerker kommentaar lewer `/gcbrun`.

<figure><img src="../../../images/image (339).png" alt="" width="563"><figcaption></figcaption></figure>

> [!CAUTION]
> Daarom, as dit op **`Not required`** gestel is, kan 'n aanvaller 'n **PR na die tak** uitvoer wat die uitvoering sal aktiveer deur die kwaadwillige kode-uitvoering by die **`cloudbuild.yml`** lêer te voeg en die cloudbuild uitvoering te kompromenteer (let daarop dat cloudbuild die kode VAN die PR sal aflaai, so dit sal die kwaadwillige **`cloudbuild.yml`** uitvoer).

Boonop is dit maklik om te sien of 'n cloudbuild uitvoering uitgevoer moet word wanneer jy 'n PR stuur, omdat dit in Github verskyn:

<figure><img src="../../../images/image (340).png" alt=""><figcaption></figcaption></figure>

> [!WARNING]
> Dan, selfs al word die cloudbuild nie uitgevoer nie, sal die aanvaller in staat wees om die **projeknaam van 'n GCP projek** wat aan die maatskappy behoort, te sien.

{{#include ../../../banners/hacktricks-training.md}}
