GWS - Persistence
PreviousGWS - Post ExploitationNextGWS - Workspace Sync Attacks (GCPW, GCDS, GPS, Directory Sync with AD & EntraID)
Last updated
Last updated
Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Alle aksies wat in hierdie afdeling genoem word wat instellings verander, sal 'n veiligheidswaarskuwing na die e-pos en selfs 'n stoot kennisgewing na enige mobiele toestel wat met die rekening gesinkroniseer is genereer.
Jy kan filters skep om veiligheidskennisgewings van Google te verberg
from: (no-reply@accounts.google.com) "Security Alert"
Dit sal voorkom dat veiligheids-e-posse die e-pos bereik (maar sal nie stoot kennisgewings na die mobiele toestel voorkom nie)
Skep doorstuur adres om sensitiewe inligting (of alles) te deurstuur - Jy het handmatige toegang nodig.
Skep 'n deurstuur adres in https://mail.google.com/mail/u/2/#settings/fwdandpop
Die ontvangende adres sal dit moet bevestig
Stel dan in om al die e-posse te deurstuur terwyl 'n kopie behou word (onthou om op veranderinge te stoor te klik):
Dit is ook moontlik om filters te skep en slegs spesifieke e-posse na die ander e-pos adres te stuur.
As jy daarin geslaag het om 'n google gebruikersessie te kompromitteer en die gebruiker het 2FA, kan jy 'n app wagwoord genereer (volg die skakel om die stappe te sien). Let daarop dat App wagwoorde nie meer deur Google aanbeveel word nie en word herroep wanneer die gebruiker sy Google-rekening wagwoord verander.
Selfs as jy 'n oop sessie het, sal jy die wagwoord van die gebruiker moet weet om 'n app wagwoord te skep.
App wagwoorde kan slegs gebruik word met rekeninge wat 2-Stap Verifikasie geaktiveer het.
Dit is ook moontlik om 2-FA af te skakel of 'n nuwe toestel (of telefoonnommer) op hierdie bladsy https://myaccount.google.com/security. Dit is ook moontlik om wagslotte te genereer (voeg jou eie toestel by), die wagwoord te verander, mobiele nommers vir verifikasietelefone en herstel, die herstel e-pos te verander en die veiligheidsvrae te verander).
Om veiligheidsstoot kennisgewings te voorkom om die telefoon van die gebruiker te bereik, kan jy sy slimfoon afteken (alhoewel dit vreemd sou wees) omdat jy hom nie weer van hier af kan aanmeld nie.
Dit is ook moontlik om die toestel te lokaliseer.
Selfs as jy 'n oop sessie het, sal jy die wagwoord van die gebruiker moet weet om hierdie instellings te verander.
As jy die rekening van 'n gebruiker gecompromitteer het, kan jy net aanvaar om al die moontlike toestemmings aan 'n OAuth App te verleen. Die enigste probleem is dat Workspace geconfigureer kan word om onbeoordeelde eksterne en/of interne OAuth apps te verbied. Dit is redelik algemeen dat Workspace Organisasies nie standaard eksterne OAuth apps vertrou nie, maar interne wel, so as jy genoeg toestemmings het om 'n nuwe OAuth toepassing binne die organisasie te genereer en eksterne apps is verbied, genereer dit en gebruik daardie nuwe interne OAuth app om persistensie te handhaaf.
Kyk die volgende bladsy vir meer inligting oor OAuth Apps:
Jy kan net die rekening aan 'n ander rekening wat deur die aanvaller beheer word, delegeer (as jy toegelaat word om dit te doen). In Workspace Organisasies moet hierdie opsie geaktiveer wees. Dit kan vir almal gedeaktiveer word, van sommige gebruikers/groepe geaktiveer of vir almal (gewoonlik is dit slegs geaktiveer vir sommige gebruikers/groepe of heeltemal gedeaktiveer).
As jy 'n sessie binne die slagoffer se google rekening het, kan jy na die Play Store blaai en mag dalk in staat wees om malware wat jy reeds na die winkel opgelaai het, direk na die telefoon te installeer om persistensie te handhaaf en toegang tot die slagoffer se telefoon te verkry.
Jy kan tyd-gebaseerde triggers in App Skripte skep, so as die App Skrip deur die gebruiker aanvaar word, sal dit geaktiveer word selfs sonder dat die gebruiker dit toegang het. Vir meer inligting oor hoe om dit te doen, kyk:
https://www.youtube-nocookie.com/embed/6AsVUS79gLw - Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic
https://www.youtube.com/watch?v=KTVHLolz6cE - Mike Felch en Beau Bullock - OK Google, Hoe doen ek 'n Red Team GSuite?
Teken in met 'n administrateur rekening, nie jou huidige rekening CarlosPolop@gmail.com nie. 2. In die Admin-konsol, gaan na Menu AppsGoogle WorkspaceGmailGebruiker instellings. 3. Om die instelling vir almal toe te pas, laat die boonste organisatoriese eenheid geselekteer. Andersins, kies 'n kind organisatoriese eenheid. 4. Klik op Posdelegasie. 5. Merk die Laat gebruikers toe om toegang tot hul posbus aan ander gebruikers in die domein te verleen blokkie. 6. (Opsioneel) Om gebruikers toe te laat om te spesifiseer watter senderinligting ingesluit is in gedelegeerde boodskappe wat van hul rekening gestuur word, merk die Laat gebruikers toe om hierdie instelling aan te pas blokkie. 7. Kies 'n opsie vir die standaard senderinligting wat ingesluit is in boodskappe wat deur gedelegeerdes gestuur word:
In die regter boonste hoek, klik op Instellings Sien alle instellings.
6. Klik op Volgende Stap Stuur e-pos om toegang te verleen.
Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
