diff --git a/src/pentesting-cloud/gcp-security/gcp-unauthenticated-enum-and-access/gcp-api-keys-unauthenticated-enum.md b/src/pentesting-cloud/gcp-security/gcp-unauthenticated-enum-and-access/gcp-api-keys-unauthenticated-enum.md index 0d297eb8a..7d418398c 100644 --- a/src/pentesting-cloud/gcp-security/gcp-unauthenticated-enum-and-access/gcp-api-keys-unauthenticated-enum.md +++ b/src/pentesting-cloud/gcp-security/gcp-unauthenticated-enum-and-access/gcp-api-keys-unauthenticated-enum.md @@ -1,30 +1,30 @@ -# GCP - API-Schlüssel Unauthentifizierte Enumeration +# GCP - API Keys Unauthenticated Enum {{#include ../../../banners/hacktricks-training.md}} -## API-Schlüssel +## API Keys -Für weitere Informationen zu API-Schlüsseln siehe: +Für weitere Informationen über API Keys siehe: {{#ref}} ../gcp-services/gcp-api-keys-enum.md {{#endref}} -### OSINT-Techniken +### OSINT techniques -**Google API-Schlüssel werden von allen Arten von Anwendungen verwendet**, die von der Client-Seite aus arbeiten. Es ist üblich, sie im Quellcode von Websites oder in Netzwerk-Anfragen, in mobilen Anwendungen oder einfach durch das Suchen nach Regex in Plattformen wie Github zu finden. +**Google API Keys werden von jeder Art von Anwendungen, die clientseitig arbeiten, weit verbreitet genutzt.** Es ist üblich, sie im Quellcode von Websites oder in Netzwerk-Requests, in mobilen Anwendungen oder einfach durch Regexes auf Plattformen wie Github zu finden. Der Regex ist: **`AIza[0-9A-Za-z_-]{35}`** -Suche ihn zum Beispiel in Github unter: [https://github.com/search?q=%2FAIza%5B0-9A-Za-z\_-%5D%7B35%7D%2F\&type=code\&ref=advsearch](https://github.com/search?q=%2FAIza%5B0-9A-Za-z_-%5D%7B35%7D%2F&type=code&ref=advsearch) +Suche ihn zum Beispiel auf Github unter: [https://github.com/search?q=%2FAIza%5B0-9A-Za-z\_-%5D%7B35%7D%2F\&type=code\&ref=advsearch](https://github.com/search?q=%2FAIza%5B0-9A-Za-z_-%5D%7B35%7D%2F&type=code&ref=advsearch) -### Überprüfen des Ursprungsprojekts in GCP +### Check origin GCP project -Dies ist äußerst nützlich, um zu überprüfen, **zu welchem GCP-Projekt ein gefundener API-Schlüssel gehört**. Wir haben verschiedene Optionen: +Dies ist extrem nützlich, um zu prüfen, **zu welchem GCP project ein gefundenes API key gehört**. Wir haben verschiedene Optionen: -- Kontaktieren Sie `https://www.googleapis.com/identitytoolkit/v3/relyingparty/getProjectConfig?key=` +- Rufe `https://www.googleapis.com/identitytoolkit/v3/relyingparty/getProjectConfig?key=` auf -Der Vollständigkeit halber wurde die Ausgabe gekürzt, aber in der vollständigen Ausgabe erscheint die Projekt-ID mehr als 5 Mal. +Der Kürze halber wurde die Ausgabe gekürzt, aber in der vollständigen Ausgabe erscheint die project ID mehr als 5 Mal ```bash curl -s "https://www.googleapis.com/identitytoolkit/v3/relyingparty/getProjectConfig?key=AIzaSyD[...]uE8Y" @@ -34,9 +34,9 @@ curl -s "https://www.googleapis.com/identitytoolkit/v3/relyingparty/getProjectCo "message": "Identity Toolkit API has not been used in project 943955951114 before or it is disabled. Enable it by visiting https://console.developers.google.com/apis/api/identitytoolkit.googleapis.com/overview?project=943955951114 then retry. If you enabled this API recently, wait a few minutes for the action to propagate to our systems and retry.", [...] ``` -- Kontaktieren Sie `https://www.googleapis.com/identitytoolkit/v3/relyingparty/getProjectConfig?key=` +- Kontaktiere `https://identitytoolkit.googleapis.com/v1/projects?key=` -Der Vollständigkeit halber wurde die Ausgabe gekürzt, aber in der vollständigen Ausgabe erscheint die Projekt-ID mehr als 5 Mal. +Der Kürze halber wurde die Ausgabe abgeschnitten, aber in der vollständigen Ausgabe erscheint die Projekt-ID mehr als 5 Mal ```bash curl -s "https://identitytoolkit.googleapis.com/v1/projects?key=AIzaSyD[...]uE8Y" @@ -46,7 +46,7 @@ curl -s "https://identitytoolkit.googleapis.com/v1/projects?key=AIzaSyD[...]uE8Y "message": "Identity Toolkit API has not been used in project 943955951114 before or it is disabled. Enable it by visiting https://console.developers.google.com/apis/api/identitytoolkit.googleapis.com/overview?project=943955951114 then retry. If you enabled this API recently, wait a few minutes for the action to propagate to our systems and retry.", [...] ``` -- [Dieser funktioniert nicht mehr!] `apikeys.keys.lookup` +- [Diese funktioniert nicht mehr!] `apikeys.keys.lookup` ```bash # If you have permissions gcloud services api-keys lookup AIzaSyD[...]uE8Y @@ -69,8 +69,99 @@ resource: projects/89123452509 service: cloudresourcemanager.googleapis.com reason: AUTH_PERMISSION_DENIED ``` -### Brute Force API-Endpunkte +### Discovery-document-gesteuerte API-Aufklärung -Da Sie möglicherweise nicht wissen, welche APIs im Projekt aktiviert sind, wäre es interessant, das Tool [https://github.com/ozguralp/gmapsapiscanner](https://github.com/ozguralp/gmapsapiscanner) auszuführen und zu überprüfen, **auf was Sie mit dem API-Schlüssel zugreifen können.** +Sobald du einen gültigen Key hast, teste nicht nur die offensichtlichen öffentlichen APIs. In Google-Umgebungen können **discovery documents** als maschinenlesbare Angriffsflächenkarte dienen und **Ressourcen, Methoden, Pfade, HTTP-Verben, Parameter sowie request/response-Schemata** offenlegen. + +Nützliche Ziele: +```bash +# Public / common path +curl -s 'https://serviceusage.googleapis.com/$discovery/rest?key=' + +# Hidden docs behind a visibility label +curl -s 'https://serviceusage.googleapis.com/$discovery/rest?labels=GOOGLE_INTERNAL&key=' +``` +Notes: + +- Vergleiche die Dokumentgröße und die Methodenzahl mit und ohne Labels wie `GOOGLE_INTERNAL`. +- Eine **echte nicht existierende Methode** gibt normalerweise einen **HTML 404** zurück. Ein **JSON 404** mit `Method not found.` kann darauf hinweisen, dass die Methode existiert, aber dem **API-Schlüssel-Projekt ein erforderliches Visibility-Label fehlt**. +- Einige First-Party-APIs lassen sich über `*.clients6.google.com` oder undokumentierte `*-pa.googleapis.com` Hosts leichter erreichen als über den öffentlichen API Explorer. + +Dies ist besonders nützlich, um **interne/admin APIs, die versehentlich dem Internet ausgesetzt sind**, zu enumerieren und benutzerdefinierte Fuzzer aus dem Schema zu bauen, statt JSON-Felder manuell zu erraten. + +### Key ownership filtering at scale + +Wenn du viele Google API Keys aus APKs, Browser-Traffic, IPAs oder Binaries sammelst, möchtest du vielleicht schnell identifizieren, **welchem Projekt jeder Key gehört** und ob er zur Ziel-Firma gehört. + +Ein praktischer Trick ist, absichtlich eine API aufzurufen, die für den Key **nicht aktiviert** ist. Google leakt häufig die zugrunde liegende **Projektnummer** in der Fehlermeldung: +```bash +curl -s 'https://protos.googleapis.com/$discovery/rest?key=' +``` +Suche nach Nachrichten wie: +```text +Protos API has not been used in project 244648151629 before or it is disabled +``` +Diese Projekt-Nummer kann dann mit anderen Endpoints, leaked metadata oder interner Company-Mapping-Logik korreliert werden, um **in-scope first-party keys** von Kunden- / Drittanbieter-Projekten zu trennen. + +### Handle key restrictions before discarding a key + +Ein eingeschränkter key ist nicht zwangsläufig nutzlos. Bewahre den Kontext, in dem der key gefunden wurde, und replay requests mit den passenden headers: +```bash +# Browser restricted +curl -H 'X-Goog-Api-Key: ' \ +-H 'Referer: https://target.google.com' \ +'https://servicemanagement.googleapis.com/v1/operations' + +# iOS restricted +curl -H 'X-Goog-Api-Key: ' \ +-H 'X-Ios-Bundle-Identifier: com.google.GoogleMobile' \ +'https://servicemanagement.clients6.google.com/v1/operations' + +# Android restricted +curl -H 'X-Goog-Api-Key: ' \ +-H 'X-Android-Package: com.google.android.settings.intelligence' \ +-H 'X-Android-Cert: ' \ +'https://servicemanagement.clients6.google.com/v1/operations' +``` +Gemeinsame Restriktionsklassen: + +- **HTTP Referer** +- **iOS bundle ID** (`X-Ios-Bundle-Identifier`) +- **Android package + signing cert** (`X-Android-Package` + `X-Android-Cert`) +- **Server IP**-Restriktionen, die sich generell nicht remote umgehen lassen + +### First-party auth / origin whitelist hints + +Einige Google web APIs akzeptieren eine Mischung aus **Session-Cookie + first-party authorization headers** und werden auf `*.clients6.google.com` gehostet. Beim Testen dieser APIs: + +- Halte `Origin` und `Referer` kompatibel mit dem Produkt, das die API normalerweise nutzt. +- Ein `401` mit `reason: SESSION_COOKIE_INVALID` kann tatsächlich bedeuten, dass der **Origin nicht auf der Whitelist steht**, nicht dass das Cookie schlecht ist. +- Öffentlich erreichbare APIs, die nur interne Origins wie `*.corp.google.com` akzeptieren, sind hochprioritäre Kandidaten für Broken Access Control Review. + +### Brute force enabled APIs and fuzz documented methods + +Wie du möglicherweise nicht weißt, welche APIs im Projekt aktiviert sind, wäre es interessant, das Tool [https://github.com/ozguralp/gmapsapiscanner](https://github.com/ozguralp/gmapsapiscanner) auszuführen und zu prüfen, **worauf du mit dem API key zugreifen kannst.** + +Nachdem du erreichbare Services identifiziert hast, bevorzuge **schema-driven fuzzing** statt blindem Raten: + +- Erzeuge Requests direkt aus Discovery-Dokumenten +- Spiele denselben Request mit **allen bekannten funktionierenden keys** erneut ab +- Normalisiere Fehler, damit du **ungültige Eingaben** von **visibility-label / auth / restriction**-Fehlern unterscheiden kannst +- Bei numerischen Objekt-IDs teste nahe Werte wie `ID-1`, `ID+1`, `1`, `2`, `100`, `1000` +- Melde nur, wenn du **Cross-User Data Access** oder einen anderen echten Authorization-Fehler bestätigst; reine Enumeration reicht dafür in der Regel nicht aus + +### Common vuln pattern: unauthenticated direct-object reference + +Ein wiederkehrendes Bugmuster ist eine **internal/admin API**, die einen vom Opfer kontrollierten Identifier akzeptiert (zum Beispiel `gaiaId`) und nur prüft, dass die Anfrage einen nutzbaren API key enthält, aber **nie überprüft, ob der Caller berechtigt ist, auf genau dieses Objekt zuzugreifen**. +```bash +curl 'https://gfibervoice-pa.googleapis.com/v1/BssGetVoiceSettings?gaiaId=' \ +-H 'X-Goog-Api-Key: ' +``` +Wenn der Endpoint die Telefonnummer, E-Mail-Adresse, Einstellungen oder andere private Felder eines anderen Benutzers zurückgibt, behandle das als klassisches **IDOR / broken access control**-Problem. + +## References + +- [Hacking Google with AI: AI-Assisted Discovery-Document Fuzzing of Google APIs](https://brutecat.com/articles/hacking-google-with-ai) +- [Google APIs Explorer](https://developers.google.com/apis-explorer) {{#include ../../../banners/hacktricks-training.md}}