GCP - Secrets Manager Enum
Last updated
Last updated
Learn & practice AWS Hacking: Learn & practice GCP Hacking:
Google is 'n kluisagtige oplossing vir die stoor van wagwoorde, API-sleutels, sertifikate, lêers (maks 64KB) en ander sensitiewe data.
'n Geheim kan verskillende weergawes hê wat verskillende data stoor.
Geheime is per standaard versleuteld met 'n Google bestuurde sleutel, maar dit is moontlik om 'n sleutel van KMS te kies om die geheim te versleutelen.
Ten opsigte van rotasie, is dit moontlik om boodskappe te konfigureer wat elke aantal dae na pub-sub gestuur word, die kode wat na daardie boodskappe luister kan die geheim roteer.
Dit is moontlik om 'n dag vir outomatiese verwydering te konfigureer, wanneer die aangeduide dag bereik word, sal die geheim outomaties verwyder word.
In die volgende bladsy kan jy kyk hoe om geheimenisse bestuurder toestemmings te misbruik om voorregte te verhoog.
'n Aanvaller kan die geheim opdateer om rotasies te stop (sodat dit nie gewysig sal word nie), of rotasies baie minder gereeld te maak (sodat die geheim nie gewysig sal word nie) of om die rotasieboodskap na 'n ander pub/sub te publiseer, of die rotasie kode wat uitgevoer word te wysig (dit gebeur in 'n ander diens, waarskynlik in 'n Cloud Function, so die aanvaller sal bevoegde toegang tot die Cloud Function of enige ander diens benodig)
Learn & practice AWS Hacking: Learn & practice GCP Hacking:
Check the !
Join the 💬 or the or follow us on Twitter 🐦 .
Share hacking tricks by submitting PRs to the and github repos.
