GCP - Enumeryacja Menedżera Sekretów

Menedżer Sekretów

Google Menedżer Sekretów to rozwiązanie przypominające sejf do przechowywania haseł, kluczy API, certyfikatów, plików (maks. 64KB) i innych wrażliwych danych.

Sekret może mieć różne wersje przechowujące różne dane.

Sekrety domyślnie są szyfrowane za pomocą klucza zarządzanego przez Google, ale możliwe jest wybranie klucza z KMS do użycia do szyfrowania sekretu.

Jeśli chodzi o rotację, możliwe jest skonfigurowanie wiadomości do wysyłania do pub-sub co określoną liczbę dni, kod nasłuchujący tych wiadomości może rotować sekret.

Możliwe jest skonfigurowanie dnia do automatycznego usunięcia, gdy wskazany dzień zostanie osiągnięty, sekret zostanie automatycznie usunięty.

Enumeryacja

# First, list the entries
gcloud secrets list
gcloud secrets get-iam-policy <secret_name>

# Then, pull the clear-text of any version of any secret
gcloud secrets versions list <secret_name>
gcloud secrets versions access 1 --secret="<secret_name>"

Eskalacja Uprawnień

Na poniższej stronie możesz sprawdzić, jak nadużywać uprawnień secretmanager, aby eskalować uprawnienia.

{{#ref}} ../gcp-privilege-escalation/gcp-secretmanager-privesc.md {{#endref}}

Po Eksploatacji

{{#ref}} ../gcp-post-exploitation/gcp-secretmanager-post-exploitation.md {{#endref}}

Utrzymywanie

{{#ref}} ../gcp-persistence/gcp-secret-manager-persistence.md {{#endref}}

Nadużycie Rotacji

Atakujący mógłby zaktualizować sekret, aby zatrzymać rotacje (aby nie był modyfikowany), lub sprawić, że rotacje będą znacznie rzadsze (aby sekret nie był modyfikowany) lub opublikować wiadomość o rotacji do innego pub/sub, lub zmodyfikować kod rotacji, który jest wykonywany (to dzieje się w innej usłudze, prawdopodobnie w Clound Function, więc atakujący będzie potrzebował uprzywilejowanego dostępu do Cloud Function lub jakiejkolwiek innej usługi)

2.2 KiB Raw Blame History