GCP - IAM, Principals & Org Unauthenticated Enum

学习和实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 分享黑客技巧。

Iam & GCP Principals

有关更多信息，请查看：

GCP - IAM, Principals & Org Policies Enum

是否在 Workspace 中使用域？

1. 检查 DNS 记录

如果有 google-site-verification 记录，则很可能正在（或曾经）使用 Workspace：

dig txt hacktricks.xyz

[...]
hacktricks.xyz.		3600	IN	TXT	"google-site-verification=2mWyPXMPXEEy6QqWbCfWkxFTcQhyYdwHrOxee1Yeo-0"
hacktricks.xyz.		3600	IN	TXT	"google-site-verification=C19PtLcZ1EGyzUYYJTX1Tp6bOGessxzN9gqE-SVKhRA"
hacktricks.xyz.		300	IN	TXT	"v=spf1 include:usb._netblocks.mimecast.com include:_spf.google.com include:_spf.psm.knowbe4.com include:_spf.salesforce.com include:spf.mandrillapp.com ~all"

如果出现类似 include:_spf.google.com 的内容，这确认了这一点（注意，如果没有出现并不否定，因为一个域可以在 Workspace 中而不使用 gmail 作为邮件提供商）。

1. 尝试使用该域设置 Workspace

另一个选项是尝试使用该域设置 Workspace，如果它 抱怨该域已被使用（如图所示），你就知道它已经被使用了！

要尝试设置 Workspace 域，请访问: https://workspace.google.com/business/signup/welcome

1. 尝试使用该域恢复电子邮件的密码

如果你知道该域中使用的任何有效电子邮件地址（如：[e-mail] 或 [e-mail]），你可以尝试在 https://accounts.google.com/signin/v2/recoveryidentifier 中 恢复账户，如果尝试没有显示错误，表明 Google 对该账户没有任何信息，那么它正在使用 Workspace。

枚举电子邮件和服务账户

可以通过尝试分配权限并检查错误消息来 枚举 Workspace 域的有效电子邮件和 SA 电子邮件。为此，你只需要有权限将权限分配给一个项目（该项目可以仅由你拥有）。

注意，检查它们时，即使它们存在也不要授予它们权限，你可以在是 user 时使用类型 serviceAccount，在是 SA 时使用 user：

# Try to assign permissions to user '[e-mail]'
# but indicating it's a service account
gcloud projects add-iam-policy-binding <project-controlled-by-you> \
--member='serviceAccount:[e-mail]' \
--role='roles/viewer'
## Response:
ERROR: (gcloud.projects.add-iam-policy-binding) INVALID_ARGUMENT: User [e-mail] does not exist.

# Now try with a valid email
gcloud projects add-iam-policy-binding <project-controlled-by-you> \
--member='serviceAccount:[e-mail]' \
--role='roles/viewer'
# Response:
ERROR: (gcloud.projects.add-iam-policy-binding) INVALID_ARGUMENT: Principal [e-mail] is of type "user". The principal should appear as "user:[e-mail]". See https://cloud.google.com/iam/help/members/types for additional documentation.

在已知项目中枚举服务账户的更快方法是尝试访问以下 URL: https://iam.googleapis.com/v1/projects/<project-id>/serviceAccounts/<sa-email> 例如: https://iam.googleapis.com/v1/projects/gcp-labs-3uis1xlx/serviceAccounts/[e-mail]

如果响应是 403，则意味着服务账户存在。但如果答案是 404，则意味着它不存在:

// Exists
{
"error": {
"code": 403,
"message": "Method doesn't allow unregistered callers (callers without established identity). Please use API Key or other form of API consumer identity to call this API.",
"status": "PERMISSION_DENIED"
}
}

// Doesn't exist
{
"error": {
"code": 404,
"message": "Unknown service account",
"status": "NOT_FOUND"
}
}

注意，当用户电子邮件有效时，错误消息表明它的类型无效，因此我们成功发现了电子邮件 [e-mail] 存在，而没有授予其任何权限。

您可以使用类型 user: 而不是 serviceAccount: 以 相同的方式处理服务帐户：

# Non existent
gcloud projects add-iam-policy-binding <project-controlled-by-you> \
--member='serviceAccount:<invalid-sa-name>@<proj-uniq-name>.iam.gserviceaccount.com' \
--role='roles/viewer'
# Response
ERROR: (gcloud.projects.add-iam-policy-binding) INVALID_ARGUMENT: User <invalid-sa-name>@<proj-uniq-name>.iam.gserviceaccount.com does not exist.

# Existent
gcloud projects add-iam-policy-binding <project-controlled-by-you> \
--member='serviceAccount:<sa-name>@<proj-uniq-name>.iam.gserviceaccount.com' \
--role='roles/viewer'
# Response
ERROR: (gcloud.projects.add-iam-policy-binding) INVALID_ARGUMENT: Principal [e-mail] is of type "serviceAccount". The principal should appear as "serviceAccount:[e-mail]". See https://cloud.google.com/iam/help/members/types for additional documentation.

学习和实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 Telegram 群组 或 在 Twitter 上关注 🐦 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud GitHub 仓库提交 PR 来分享黑客技巧。