GWS - Pentesting de Workspace

Puntos de Entrada

Phishing en Plataformas de Google y Apps de OAuth

Verifica cómo podrías usar diferentes plataformas de Google como Drive, Chat, Grupos... para enviar al objetivo un enlace de phishing y cómo realizar un phishing de Google OAuth en:

{{#ref}} gws-google-platforms-phishing/ {{#endref}}

Password Spraying

Para probar contraseñas con todos los correos electrónicos que encontraste (o que has generado basándote en un patrón de nombre de correo que podrías haber descubierto), podrías usar una herramienta como https://github.com/ustayready/CredKing (aunque parece no estar mantenida) que utilizará lambdas de AWS para cambiar la dirección IP.

Post-Explotación

Si has comprometido algunas credenciales o la sesión del usuario, puedes realizar varias acciones para acceder a información potencialmente sensible del usuario y tratar de escalar privilegios:

{{#ref}} gws-post-exploitation.md {{#endref}}

GWS <--> GCP Pivoting

Lee más sobre las diferentes técnicas para pivotar entre GWS y GCP en:

{{#ref}} ../gcp-security/gcp-to-workspace-pivoting/ {{#endref}}

GWS <--> GCPW | GCDS | Sincronización de Directorios (AD & EntraID)

GCPW (Google Credential Provider for Windows): Este es el inicio de sesión único que Google Workspaces proporciona para que los usuarios puedan iniciar sesión en sus PCs con Windows usando sus credenciales de Workspace. Además, esto almacenará tokens para acceder a Google Workspace en algunos lugares de la PC.
GCDS (Google Cloud Directory Sync): Esta es una herramienta que se puede usar para sincronizar tus usuarios y grupos de Active Directory a tu Workspace. La herramienta requiere las credenciales de un superusuario de Workspace y un usuario privilegiado de AD. Por lo tanto, podría ser posible encontrarla dentro de un servidor de dominio que esté sincronizando usuarios de vez en cuando.
Sincronización de Directorio de Admin: Permite sincronizar usuarios de AD y EntraID en un proceso sin servidor desde https://admin.google.com/ac/sync/externaldirectories.

{{#ref}} gws-workspace-sync-attacks-gcpw-gcds-gps-directory-sync-with-ad-and-entraid/ {{#endref}}

Persistencia

Si has comprometido algunas credenciales o la sesión del usuario, verifica estas opciones para mantener la persistencia sobre ello:

{{#ref}} gws-persistence.md {{#endref}}

Recuperación de Cuenta Comprometida

Cerrar sesión en todas las sesiones
Cambiar la contraseña del usuario
Generar nuevos códigos de respaldo de 2FA
Eliminar contraseñas de aplicaciones
Eliminar aplicaciones de OAuth
Eliminar dispositivos de 2FA
Eliminar reenvíos de correo electrónico
Eliminar filtros de correos electrónicos
Eliminar correos electrónicos/teléfonos de recuperación
Eliminar smartphones sincronizados maliciosos
Eliminar malas aplicaciones de Android
Eliminar malas delegaciones de cuenta

Referencias

https://www.youtube-nocookie.com/embed/6AsVUS79gLw - Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic
https://www.youtube.com/watch?v=KTVHLolz6cE - Mike Felch y Beau Bullock - OK Google, ¿Cómo hago un Red Team en GSuite?

3.5 KiB Raw Blame History