GCP - Compute Privesc
Last updated
Last updated
学习和实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)
有关 GCP 中 Compute 和 VPC（网络）的更多信息，请查看：
GCP - Compute Enum请注意，要执行所有需要修改实例元数据的权限提升攻击（如添加新用户和 SSH 密钥），您需要对附加到实例的服务账户具有 actAs 权限，即使服务账户已经附加！
compute.projects.setCommonInstanceMetadata拥有该权限后，您可以修改一个实例的元数据信息并更改用户的授权密钥，或创建一个具有 sudo 权限的新用户。因此，您将能够通过 SSH 进入任何 VM 实例并窃取实例正在运行的 GCP 服务账户。 限制：
请注意，默认情况下，在 VM 实例中运行的 GCP 服务账户具有非常有限的范围
您需要能够联系 SSH 服务器以登录
有关如何利用此权限的更多信息，请查看：
GCP - Add Custom SSH Metadata您还可以通过添加新的启动脚本并重启实例来执行此攻击：
compute.instances.setMetadata此权限赋予与之前权限相同的特权，但仅针对特定实例，而不是整个项目。与前一部分相同的漏洞和限制适用。
compute.instances.setIamPolicy这种权限将允许您授予自己具有之前权限的角色并利用它们提升特权。
compute.instances.osLogin如果实例中启用了OSLogin，则使用此权限您可以直接运行**gcloud compute ssh [INSTANCE]并连接到实例。您在实例内没有root权限**。
为了成功使用此权限登录到VM实例，您需要对附加到VM的SA拥有iam.serviceAccounts.actAs权限。
compute.instances.osAdminLogin如果实例中启用了OSLogin，则使用此权限您可以直接运行**gcloud compute ssh [INSTANCE]并连接到实例。您将在实例内拥有root权限**。
为了成功使用此权限登录到VM实例，您需要对附加到VM的SA拥有iam.serviceAccounts.actAs权限。
compute.instances.create,iam.serviceAccounts.actAs, compute.disks.create, compute.instances.create, compute.instances.setMetadata, compute.instances.setServiceAccount, compute.subnetworks.use, compute.subnetworks.useExternalIp可以创建一个分配了服务账户的虚拟机并窃取该服务账户的令牌，通过访问元数据来提升特权。
此方法的利用脚本可以在这里找到。
osconfig.patchDeployments.create | osconfig.patchJobs.exec如果您拥有**osconfig.patchDeployments.create或osconfig.patchJobs.exec**权限，您可以创建一个补丁作业或部署。这将使您能够在环境中横向移动，并在项目内的所有计算实例上获得代码执行权限。
请注意，目前您不需要对附加到实例的SA拥有actAs权限。
如果您想手动利用此漏洞，您需要创建一个补丁作业或部署。 要运行补丁作业：
要部署补丁部署：
该工具 patchy 过去可以用于利用此错误配置（但现在无法使用）。
攻击者也可以利用此进行持久化。
compute.machineImages.setIamPolicy授予自己额外权限 以访问计算镜像。
compute.snapshots.setIamPolicy授予自己额外权限 以访问磁盘快照。
compute.disks.setIamPolicy授予自己额外权限 以访问磁盘。
通过此链接，您可以找到一些 尝试绕过访问范围的想法。
学习与实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习与实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)
