mirror of
https://github.com/HackTricks-wiki/hacktricks-cloud.git
synced 2025-12-29 22:20:33 -08:00
43 lines
1.7 KiB
Markdown
43 lines
1.7 KiB
Markdown
# GCP - API Keys Enum
|
|
|
|
{{#include ../../../banners/hacktricks-training.md}}
|
|
|
|
## Grundinformationen
|
|
|
|
In Google Cloud Platform (GCP) sind API-Schlüssel eine einfache verschlüsselte Zeichenfolge, die **eine Anwendung ohne jeglichen Principal identifiziert**. Sie werden verwendet, um **auf Google Cloud APIs zuzugreifen**, die keinen Benutzerkontext erfordern. Das bedeutet, dass sie häufig in Szenarien verwendet werden, in denen die Anwendung auf ihre eigenen Daten anstatt auf Benutzerdaten zugreift.
|
|
|
|
### Einschränkungen
|
|
|
|
Sie können **Einschränkungen für API-Schlüssel anwenden**, um die Sicherheit zu erhöhen. Zum Beispiel können Sie den Schlüssel so einschränken, dass er **nur von bestimmten IP-Adressen, Webseiten, Android-Apps, iOS-Apps** verwendet werden kann, oder ihn auf **bestimmte APIs oder Dienste** innerhalb von GCP beschränken.
|
|
|
|
### Aufzählung
|
|
|
|
Es ist möglich, **die Einschränkung eines API-Schlüssels zu sehen** (einschließlich der Einschränkung von GCP API-Endpunkten) mit der Liste der Verben oder beschreiben:
|
|
```bash
|
|
gcloud services api-keys list
|
|
gcloud services api-keys describe <key-uuid>
|
|
gcloud services api-keys list --show-deleted
|
|
```
|
|
> [!NOTE]
|
|
> Es ist möglich, gelöschte Schlüssel wiederherzustellen, bevor 30 Tage vergehen, weshalb Sie gelöschte Schlüssel auflisten können.
|
|
|
|
### Privilegieneskalation & Nachausnutzung
|
|
|
|
{{#ref}}
|
|
../gcp-privilege-escalation/gcp-apikeys-privesc.md
|
|
{{#endref}}
|
|
|
|
### Unauthentifizierte Enumeration
|
|
|
|
{{#ref}}
|
|
../gcp-unauthenticated-enum-and-access/gcp-api-keys-unauthenticated-enum.md
|
|
{{#endref}}
|
|
|
|
### Persistenz
|
|
|
|
{{#ref}}
|
|
../gcp-persistence/gcp-api-keys-persistence.md
|
|
{{#endref}}
|
|
|
|
{{#include ../../../banners/hacktricks-training.md}}
|