GCP - API Keys Enum

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Basic Information

Dans Google Cloud Platform (GCP), les clés API sont une simple chaîne cryptée qui identifie une application sans aucun principal. Elles sont utilisées pour accéder aux API Google Cloud qui ne nécessitent pas de contexte utilisateur. Cela signifie qu'elles sont souvent utilisées dans des scénarios où l'application accède à ses propres données plutôt qu'aux données des utilisateurs.

Restrictions

Vous pouvez appliquer des restrictions aux clés API pour une sécurité accrue. Par exemple, vous pouvez restreindre la clé pour qu'elle soit utilisée uniquement par certaines adresses IP, sites web, applications Android, applications iOS, ou la restreindre à certaines API ou services au sein de GCP.

Enumeration

Il est possible de voir la restriction d'une clé API (y compris la restriction des points de terminaison API GCP) en utilisant la liste des verbes ou décrire :

gcloud services api-keys list
gcloud services api-keys describe <key-uuid>
gcloud services api-keys list --show-deleted

Il est possible de récupérer des clés supprimées avant que 30 jours ne passent, c'est pourquoi vous pouvez lister les clés supprimées.

Escalade de privilèges & Post-exploitation

GCP - Apikeys Privesc

Enumération non authentifiée

GCP - API Keys Unauthenticated Enum

Persistance

GCP - API Keys Persistence

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE) Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE)

Soutenir HackTricks

• Consultez les plans d'abonnement !

• Rejoignez le 💬 groupe Discord ou le groupe telegram ou suivez-nous sur Twitter 🐦 @hacktricks_live.

• Partagez des astuces de hacking en soumettant des PR aux HackTricks et HackTricks Cloud dépôts github.