GCP - Secrets Manager Enum
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Google Secret Manager is 'n kluisagtige oplossing vir die stoor van wagwoorde, API-sleutels, sertifikate, lêers (maks 64KB) en ander sensitiewe data.
'n Geheim kan verskillende weergawes hê wat verskillende data stoor.
Geheime is per standaard versleuteld met 'n Google bestuurde sleutel, maar dit is moontlik om 'n sleutel van KMS te kies om die geheim te versleutelen.
Ten opsigte van rotasie, is dit moontlik om boodskappe te konfigureer wat elke aantal dae na pub-sub gestuur word, die kode wat na daardie boodskappe luister kan die geheim roteer.
Dit is moontlik om 'n dag vir outomatiese verwydering te konfigureer, wanneer die aangeduide dag bereik word, sal die geheim outomaties verwyder word.
In die volgende bladsy kan jy kyk hoe om geheimenisse bestuurder toestemmings te misbruik om voorregte te verhoog.
GCP - Secretmanager Privesc'n Aanvaller kan die geheim opdateer om rotasies te stop (sodat dit nie gewysig sal word nie), of rotasies baie minder gereeld te maak (sodat die geheim nie gewysig sal word nie) of om die rotasieboodskap na 'n ander pub/sub te publiseer, of die rotasie kode wat uitgevoer word te wysig (dit gebeur in 'n ander diens, waarskynlik in 'n Cloud Function, so die aanvaller sal bevoegde toegang tot die Cloud Function of enige ander diens benodig)
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
