GWS - Persistence
PreviousGWS - Post ExploitationNextGWS - Workspace Sync Attacks (GCPW, GCDS, GPS, Directory Sync with AD & EntraID)
Last updated
Last updated
Apprenez et pratiquez le hacking AWS :Formation HackTricks AWS Red Team Expert (ARTE) Apprenez et pratiquez le hacking GCP : Formation HackTricks GCP Red Team Expert (GRTE)
Toutes les actions mentionnées dans cette section qui modifient les paramètres généreront une alerte de sécurité à l'email et même une notification push à tout mobile synchronisé avec le compte.
Vous pouvez créer des filtres pour cacher les notifications de sécurité de Google
from: (no-reply@accounts.google.com) "Alerte de sécurité"
Cela empêchera les emails de sécurité d'atteindre l'email (mais n'empêchera pas les notifications push sur le mobile)
Créez une adresse de transfert pour transférer des informations sensibles (ou tout) - Vous avez besoin d'un accès manuel.
Créez une adresse de transfert à https://mail.google.com/mail/u/2/#settings/fwdandpop
L'adresse de réception devra confirmer cela
Ensuite, définissez pour transférer tous les emails tout en gardant une copie (n'oubliez pas de cliquer sur enregistrer les modifications) :
Il est également possible de créer des filtres et de transférer uniquement des emails spécifiques à l'autre adresse email.
Si vous avez réussi à compromettre une session utilisateur Google et que l'utilisateur avait 2FA, vous pouvez générer un mot de passe d'application (suivez le lien pour voir les étapes). Notez que les mots de passe d'application ne sont plus recommandés par Google et sont révoqués lorsque l'utilisateur change son mot de passe de compte Google.
Même si vous avez une session ouverte, vous devrez connaître le mot de passe de l'utilisateur pour créer un mot de passe d'application.
Les mots de passe d'application peuvent uniquement être utilisés avec des comptes ayant la vérification en deux étapes activée.
Il est également possible de désactiver 2-FA ou d'enrôler un nouvel appareil (ou numéro de téléphone) sur cette page https://myaccount.google.com/security. Il est également possible de générer des clés d'accès (ajoutez votre propre appareil), de changer le mot de passe, d'ajouter des numéros de mobile pour les téléphones de vérification et de récupération, de changer l'email de récupération et de changer les questions de sécurité).
Pour empêcher les notifications push de sécurité d'atteindre le téléphone de l'utilisateur, vous pourriez déconnecter son smartphone (bien que cela soit étrange) car vous ne pouvez pas le reconnecter à partir d'ici.
Il est également possible de localiser l'appareil.
Même si vous avez une session ouverte, vous devrez connaître le mot de passe de l'utilisateur pour changer ces paramètres.
Si vous avez compromis le compte d'un utilisateur, vous pouvez simplement accepter d'accorder toutes les permissions possibles à une application OAuth. Le seul problème est que Workspace peut être configuré pour interdire les applications OAuth externes et/ou internes non examinées. Il est assez courant que les organisations Workspace ne fassent pas confiance par défaut aux applications OAuth externes mais fassent confiance aux internes, donc si vous avez suffisamment de permissions pour générer une nouvelle application OAuth à l'intérieur de l'organisation et que les applications externes sont interdites, générez-la et utilisez cette nouvelle application OAuth interne pour maintenir la persistance.
Consultez la page suivante pour plus d'informations sur les applications OAuth :
GWS - Google Platforms PhishingVous pouvez simplement déléguer le compte à un autre compte contrôlé par l'attaquant (si vous êtes autorisé à le faire). Dans les organisations Workspace, cette option doit être activée. Elle peut être désactivée pour tout le monde, activée pour certains utilisateurs/groupes ou pour tout le monde (généralement, elle est seulement activée pour certains utilisateurs/groupes ou complètement désactivée).
Si vous avez une session dans le compte Google des victimes, vous pouvez naviguer vers le Play Store et pourriez être en mesure d'installer un malware que vous avez déjà téléchargé sur le store directement sur le téléphone pour maintenir la persistance et accéder au téléphone des victimes.
Vous pouvez créer des déclencheurs basés sur le temps dans les scripts d'application, donc si le script d'application est accepté par l'utilisateur, il sera déclenché même sans que l'utilisateur y accède. Pour plus d'informations sur la façon de faire cela, consultez :
GWS - App Scriptshttps://www.youtube-nocookie.com/embed/6AsVUS79gLw - Matthew Bryant - Hacking G Suite : Le pouvoir de la magie des scripts d'application sombres
https://www.youtube.com/watch?v=KTVHLolz6cE - Mike Felch et Beau Bullock - OK Google, comment puis-je Red Team GSuite ?
Connectez-vous en utilisant un compte administrateur, pas votre compte actuel CarlosPolop@gmail.com 2. Dans la console d'administration, allez dans Menu ApplicationsGoogle WorkspaceGmailParamètres utilisateur. 3. Pour appliquer le paramètre à tout le monde, laissez l'unité organisationnelle supérieure sélectionnée. Sinon, sélectionnez une unité organisationnelle enfant. 4. Cliquez sur Délégation de mail. 5. Cochez la case Autoriser les utilisateurs à déléguer l'accès à leur boîte aux lettres à d'autres utilisateurs du domaine. 6. (Optionnel) Pour permettre aux utilisateurs de spécifier quelles informations d'expéditeur sont incluses dans les messages délégués envoyés depuis leur compte, cochez la case Autoriser les utilisateurs à personnaliser ce paramètre. 7. Sélectionnez une option pour les informations d'expéditeur par défaut qui sont incluses dans les messages envoyés par les délégués :
En haut à droite, cliquez sur Paramètres Voir tous les paramètres.
6. Cliquez sur Étape suivante Envoyer un email pour accorder l'accès.
Apprenez et pratiquez le hacking AWS :Formation HackTricks AWS Red Team Expert (ARTE) Apprenez et pratiquez le hacking GCP : Formation HackTricks GCP Red Team Expert (GRTE)
