diff --git a/src/pentesting-cloud/gcp-security/gcp-unauthenticated-enum-and-access/gcp-api-keys-unauthenticated-enum.md b/src/pentesting-cloud/gcp-security/gcp-unauthenticated-enum-and-access/gcp-api-keys-unauthenticated-enum.md index 25dfc7578..f4b8e2aa9 100644 --- a/src/pentesting-cloud/gcp-security/gcp-unauthenticated-enum-and-access/gcp-api-keys-unauthenticated-enum.md +++ b/src/pentesting-cloud/gcp-security/gcp-unauthenticated-enum-and-access/gcp-api-keys-unauthenticated-enum.md @@ -1,30 +1,30 @@ -# GCP - API Anahtarları Yetkisiz Enum +# GCP - API Keys Unauthenticated Enum {{#include ../../../banners/hacktricks-training.md}} -## API Anahtarları +## API Keys -API Anahtarları hakkında daha fazla bilgi için kontrol edin: +API Keys hakkında daha fazla bilgi için şuraya bakın: {{#ref}} ../gcp-services/gcp-api-keys-enum.md {{#endref}} -### OSINT teknikleri +### OSINT techniques -**Google API Anahtarları, istemci tarafında kullanılan her türlü uygulama tarafından yaygın olarak kullanılmaktadır.** Bunları web sitelerinin kaynak kodunda veya ağ isteklerinde, mobil uygulamalarda veya Github gibi platformlarda regex araması yaparak bulmak yaygındır. +**Google API Keys, client tarafında çalışan her tür uygulama tarafından yaygın olarak kullanılır**. Bunları web sitelerinin source code'unda veya network requests içinde, mobile applications'da ya da sadece Github gibi platformlarda regex arayarak bulmak yaygındır. -Regex: **`AIza[0-9A-Za-z_-]{35}`** +Regex şudur: **`AIza[0-9A-Za-z_-]{35}`** -Örneğin bunu Github'da şu şekilde arayın: [https://github.com/search?q=%2FAIza%5B0-9A-Za-z\_-%5D%7B35%7D%2F\&type=code\&ref=advsearch](https://github.com/search?q=%2FAIza%5B0-9A-Za-z_-%5D%7B35%7D%2F&type=code&ref=advsearch) +Örneğin Github'da şu aramayla bulun: [https://github.com/search?q=%2FAIza%5B0-9A-Za-z\_-%5D%7B35%7D%2F\&type=code\&ref=advsearch](https://github.com/search?q=%2FAIza%5B0-9A-Za-z_-%5D%7B35%7D%2F&type=code&ref=advsearch) -### Kaynak GCP projesini kontrol et +### Check origin GCP project -Bu, **bulduğunuz bir API anahtarının hangi GCP projesine ait olduğunu kontrol etmek için son derece faydalıdır.** Farklı seçeneklerimiz var: +Bu, bulduğunuz bir API key'in **hangi GCP project'e ait olduğunu** kontrol etmek için son derece kullanışlıdır. Farklı seçeneklerimiz var: -- İletişim `https://www.googleapis.com/identitytoolkit/v3/relyingparty/getProjectConfig?key=` -Kısalık adına çıktı kısaltılmıştır, ancak tam çıktıda proje kimliği 5'ten fazla kez görünmektedir. +Kısalık için output kısaltıldı, ancak tam output'ta project ID 5 kereden fazla görünür ```bash curl -s "https://www.googleapis.com/identitytoolkit/v3/relyingparty/getProjectConfig?key=AIzaSyD[...]uE8Y" @@ -34,9 +34,9 @@ curl -s "https://www.googleapis.com/identitytoolkit/v3/relyingparty/getProjectCo "message": "Identity Toolkit API has not been used in project 943955951114 before or it is disabled. Enable it by visiting https://console.developers.google.com/apis/api/identitytoolkit.googleapis.com/overview?project=943955951114 then retry. If you enabled this API recently, wait a few minutes for the action to propagate to our systems and retry.", [...] ``` -- İletişim `https://www.googleapis.com/identitytoolkit/v3/relyingparty/getProjectConfig?key=` +- `https://identitytoolkit.googleapis.com/v1/projects?key=` ile iletişime geçin -Kısalık adına çıktı kesildi, ancak tam çıktıda proje kimliği 5'ten fazla kez görünmektedir. +Kısalık adına çıktı kırpıldı, ancak tam çıktıda project ID 5 kereden fazla görünür ```bash curl -s "https://identitytoolkit.googleapis.com/v1/projects?key=AIzaSyD[...]uE8Y" @@ -69,8 +69,99 @@ resource: projects/89123452509 service: cloudresourcemanager.googleapis.com reason: AUTH_PERMISSION_DENIED ``` -### Brute Force API uç noktaları +### Discovery-document driven API recon -Proje içinde hangi API'lerin etkin olduğunu bilmediğiniz için, aracı çalıştırmak ilginç olabilir [https://github.com/ozguralp/gmapsapiscanner](https://github.com/ozguralp/gmapsapiscanner) ve **API anahtarı ile neleri erişebileceğinizi kontrol edin.** +Geçerli bir anahtarınız olduğunda, sadece bariz public API'leri test etmeyin. Google ortamlarında, **discovery documents** makine tarafından okunabilir bir attack-surface haritası olarak çalışabilir ve **resources, methods, paths, HTTP verbs, parameters, and request/response schemas** bilgilerini açığa çıkarabilir. + +Useful targets: +```bash +# Public / common path +curl -s 'https://serviceusage.googleapis.com/$discovery/rest?key=' + +# Hidden docs behind a visibility label +curl -s 'https://serviceusage.googleapis.com/$discovery/rest?labels=GOOGLE_INTERNAL&key=' +``` +Notlar: + +- `GOOGLE_INTERNAL` gibi etiketlerle ve etiketler olmadan doküman boyutunu ve method sayısını karşılaştırın. +- Gerçek bir **nonexistent method** genellikle bir **HTML 404** döner. `Method not found.` içeren bir **JSON 404**, methodun var olduğunu ancak **API key project**’inin gerekli bir visibility label eksik olduğunu gösterebilir. +- Bazı first-party APIs’e, public API explorer yerine `*.clients6.google.com` veya undocumented `*-pa.googleapis.com` hostları üzerinden ulaşmak daha kolaydır. + +Bu, özellikle **Internet’e yanlışlıkla açılmış internal/admin APIs**’i enumerate etmek ve JSON alanlarını elle tahmin etmek yerine schema’dan özel fuzzers oluşturmak için çok kullanışlıdır. + +### Key ownership filtering at scale + +APK’lerden, browser traffic’ten, IPA’lardan veya binary’lerden çok sayıda Google API key toplarsanız, hızlıca **hangi project’in hangi key’e sahip olduğunu** ve bunun target company’ye ait olup olmadığını belirlemek isteyebilirsiniz. + +Pratik bir trick, key için **enabled olmayan** bir API’yi bilinçli olarak çağırmaktır. Google çoğu zaman error içinde arka plandaki **project number**’ı sızdırır: +```bash +curl -s 'https://protos.googleapis.com/$discovery/rest?key=' +``` +Şu mesajlara bakın: +```text +Protos API has not been used in project 244648151629 before or it is disabled +``` +Bu project number daha sonra diğer endpoint’lerle, leak olmuş metadata ile veya internal company-mapping logic ile ilişkilendirilerek **in-scope first-party keys** ile customer / third-party projects ayrıştırılabilir. + +### Bir key’i discard etmeden önce key restrictions’ı handle et + +Restricted bir key her zaman useless değildir. Key’in bulunduğu context’i koruyun ve matching headers ile requests’i replay edin: +```bash +# Browser restricted +curl -H 'X-Goog-Api-Key: ' \ +-H 'Referer: https://target.google.com' \ +'https://servicemanagement.googleapis.com/v1/operations' + +# iOS restricted +curl -H 'X-Goog-Api-Key: ' \ +-H 'X-Ios-Bundle-Identifier: com.google.GoogleMobile' \ +'https://servicemanagement.clients6.google.com/v1/operations' + +# Android restricted +curl -H 'X-Goog-Api-Key: ' \ +-H 'X-Android-Package: com.google.android.settings.intelligence' \ +-H 'X-Android-Cert: ' \ +'https://servicemanagement.clients6.google.com/v1/operations' +``` +Common restriction classes: + +- **HTTP Referer** +- **iOS bundle ID** (`X-Ios-Bundle-Identifier`) +- **Android package + signing cert** (`X-Android-Package` + `X-Android-Cert`) +- **Server IP** restrictions, which generally cannot be bypassed remotely + +### First-party auth / origin whitelist hints + +Some Google web APIs accept a mix of **session cookie + first-party authorization headers** and are hosted on `*.clients6.google.com`. When testing these APIs: + +- `Origin` ve `Referer` değerlerini normalde API’yi kullanan ürünle uyumlu tutun. +- `reason: SESSION_COOKIE_INVALID` içeren bir `401`, aslında çerezin kötü olduğu değil, **origin whitelist’te olmadığı** anlamına gelebilir. +- Sadece `*.corp.google.com` gibi internal origin’leri kabul eden publicly reachable APIs, broken access control incelemesi için yüksek değerli adaylardır. + +### Brute force enabled APIs and fuzz documented methods + +Projectte hangi APIs’nin enabled olduğunu bilemeyebileceğiniz için, [https://github.com/ozguralp/gmapsapiscanner](https://github.com/ozguralp/gmapsapiscanner) aracını çalıştırıp **API key ile nereye erişebildiğinizi** kontrol etmek ilginç olabilir. + +Ulaşılabilir servisleri belirledikten sonra, kör tahmin yerine **schema-driven fuzzing** tercih edin: + +- İstekleri doğrudan discovery docs’tan üretin +- Aynı isteği **bilinen çalışan tüm keys** ile yeniden gönderin +- Hataları normalize edin ki **invalid input** ile **visibility-label / auth / restriction** hatalarını ayırt edebilin +- Sayısal object identifier’lar için `ID-1`, `ID+1`, `1`, `2`, `100`, `1000` gibi yakın değerleri deneyin +- Sadece **cross-user data access** veya başka gerçek bir authorization failure doğrulandığında raporlayın; plain enumeration tek başına genelde yeterli değildir + +### Common vuln pattern: unauthenticated direct-object reference + +Yinelenen bir bug pattern’i, victim-controlled bir identifier (örneğin `gaiaId`) alan ve yalnızca request’in kullanılabilir bir API key taşıdığını doğrulayan, ancak **çağıranın o belirli object’e erişmeye authorized olup olmadığını asla kontrol etmeyen** bir **internal/admin API**’dir. +```bash +curl 'https://gfibervoice-pa.googleapis.com/v1/BssGetVoiceSettings?gaiaId=' \ +-H 'X-Goog-Api-Key: ' +``` +If the endpoint returns another user's phone number, email address, settings, or other private fields, bunu klasik bir **IDOR / broken access control** sorunu olarak değerlendirin. + +## References + +- [Hacking Google with AI: AI-Assisted Discovery-Document Fuzzing of Google APIs](https://brutecat.com/articles/hacking-google-with-ai) +- [Google APIs Explorer](https://developers.google.com/apis-explorer) {{#include ../../../banners/hacktricks-training.md}}