# GCP - Cloud Build Neautentifikovana Enumeracija

{{#include ../../../banners/hacktricks-training.md}}

## Cloud Build

Za više informacija o Cloud Build-u pogledajte:

{{#ref}}
../gcp-services/gcp-cloud-build-enum.md
{{#endref}}

### cloudbuild.yml

Ako kompromitujete pristup za pisanje nad repozitorijumom koji sadrži datoteku nazvanu **`cloudbuild.yml`**, mogli biste **unazaditi** ovu datoteku, koja specificira **komande koje će biti izvršene** unutar Cloud Build-a i eksfiltrirati tajne, kompromitovati ono što se radi i takođe kompromitovati **Cloud Build servisni nalog.**

> [!NOTE]
> Imajte na umu da GCP ima opciju da dozvoli administratorima da kontrolišu izvršenje build sistema iz spoljašnjih PR-ova putem "Comment Control". Comment Control je funkcija gde saradnici/vlasnici projekta **moraju da komentarišu “/gcbrun” da bi pokrenuli build** protiv PR-a i korišćenje ove funkcije inherentno sprečava bilo koga na internetu da pokrene vaše build sisteme.

Za neke povezane informacije možete pogledati stranicu o tome kako napasti Github Actions (slično ovome):

{{#ref}}
../../../pentesting-ci-cd/github-security/abusing-github-actions/
{{#endref}}

### PR Odobrenja

Kada je okidač PR, pošto **bilo ko može da izvrši PR-ove na javne repozitorijume**, bilo bi veoma opasno samo **dozvoliti izvršenje okidača sa bilo kojim PR-om**. Stoga, po defaultu, izvršenje će biti **automatsko samo za vlasnike i saradnike**, a da bi se izvršio okidač sa PR-ovima drugih korisnika, vlasnik ili saradnik mora da komentariše `/gcbrun`.

<figure><img src="../../../images/image (339).png" alt="" width="563"><figcaption></figcaption></figure>

> [!CAUTION]
> Stoga, ako je ovo postavljeno na **`Not required`**, napadač bi mogao da izvrši **PR na granu** koja će pokrenuti izvršenje dodajući zloćudni kod u **`cloudbuild.yml`** datoteku i kompromitovati cloudbuild izvršenje (napomena: cloudbuild će preuzeti kod IZ PR-a, tako da će izvršiti zloćudni **`cloudbuild.yml`**).

Pored toga, lako je videti da li je potrebno izvršiti neko cloudbuild izvršenje kada pošaljete PR jer se pojavljuje na Github-u:

<figure><img src="../../../images/image (340).png" alt=""><figcaption></figcaption></figure>

> [!WARNING]
> Tada, čak i ako cloudbuild nije izvršen, napadač će moći da vidi **ime projekta GCP projekta** koji pripada kompaniji.

{{#include ../../../banners/hacktricks-training.md}}
