GCP - Privilege Escalation
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
GCP, come qualsiasi altro cloud, ha alcuni principali: utenti, gruppi e account di servizio, e alcune risorse come compute engine, cloud functions… Poi, tramite ruoli, i permessi vengono concessi a questi principali sulle risorse. Questo è il modo per specificare i permessi che un principale ha su una risorsa in GCP. Ci sono determinati permessi che consentiranno a un utente di ottenere ancora più permessi sulla risorsa o su risorse di terze parti, e questo è ciò che viene chiamato escalation dei privilegi (anche, lo sfruttamento delle vulnerabilità per ottenere più permessi).
Pertanto, vorrei separare le tecniche di escalation dei privilegi in GCP in 2 gruppi:
Privesc a un principale: Questo ti permetterà di impersonare un altro principale, e quindi agire come esso con tutti i suoi permessi. ad es.: Abusare di getAccessToken per impersonare un account di servizio.
Privesc sulla risorsa: Questo ti permetterà di ottenere più permessi sulla risorsa specifica. ad es.: puoi abusare del permesso setIamPolicy su cloudfunctions per consentirti di attivare la funzione.
Nota che alcuni permessi delle risorse ti permetteranno anche di allegare un account di servizio arbitrario alla risorsa. Questo significa che sarai in grado di avviare una risorsa con un SA, entrare nella risorsa e rubare il token SA. Pertanto, questo permetterà di escalare a un principale tramite un'escalation della risorsa. Questo è successo in diverse risorse in precedenza, ma ora è meno frequente (ma può ancora accadere).
Ovviamente, le tecniche di escalation dei privilegi più interessanti sono quelle del secondo gruppo perché ti permetteranno di ottenere più privilegi al di fuori delle risorse su cui hai già alcuni privilegi. Tuttavia, nota che l'escalation nelle risorse può darti anche accesso a informazioni sensibili o persino ad altri principali (forse leggendo un segreto che contiene un token di un SA).
È importante notare anche che in GCP gli Account di Servizio sono sia principali che permessi, quindi escalare i privilegi in un SA ti permetterà di impersonarlo anche.
I permessi tra parentesi indicano i permessi necessari per sfruttare la vulnerabilità con gcloud. Questi potrebbero non essere necessari se sfruttati tramite l'API.
Questo è come testo per permessi specifici per eseguire azioni specifiche all'interno di GCP.
Scarica il repo github https://github.com/carlospolop/gcp_privesc_scripts
Aggiungi in tests/ il nuovo script
I token di SA trapelati dal servizio metadata di GCP hanno ambiti di accesso. Questi sono restrizioni sui permessi che il token ha. Ad esempio, se il token ha l'ambito https://www.googleapis.com/auth/cloud-platform, avrà accesso completo a tutti i servizi GCP. Tuttavia, se il token ha l'ambito https://www.googleapis.com/auth/cloud-platform.read-only, avrà solo accesso in sola lettura a tutti i servizi GCP anche se il SA ha più permessi in IAM.
Non c'è un modo diretto per bypassare questi permessi, ma potresti sempre provare a cercare nuove credenziali nell'host compromesso, trovare la chiave di servizio per generare un token OAuth senza restrizioni o saltare a una VM diversa meno restrittiva.
Quando vengono utilizzati ambiti di accesso, il token OAuth che viene generato per l'istanza di calcolo (VM) avrà una limitazione di ambito inclusa. Tuttavia, potresti essere in grado di bypassare questa limitazione e sfruttare i permessi che ha l'account compromesso.
Il modo migliore per bypassare questa restrizione è o trovare nuove credenziali nell'host compromesso, trovare la chiave di servizio per generare un token OAuth senza restrizioni o compromettere una VM diversa con un SA meno restrittivo.
Controlla SA con chiavi generate con:
Il modo per elevare i tuoi privilegi in AWS è avere abbastanza permessi per poter, in qualche modo, accedere ai privilegi di altri account di servizio/utenti/gruppi. Collegare le escalation fino ad avere accesso admin sull'organizzazione.
GCP ha centinaia (se non migliaia) di permessi che possono essere concessi a un'entità. In questo libro puoi trovare tutti i permessi che conosco che puoi abusare per escalare privilegi, ma se conosci qualche percorso non menzionato qui, per favore condividilo.
Le sottopagine di questa sezione sono ordinate per servizi. Puoi trovare su ogni servizio diversi modi per escalare privilegi sui servizi.
Se sei all'interno di una macchina in GCP potresti essere in grado di abusare dei permessi per escalare privilegi anche localmente:
GCP - local privilege escalation ssh pivotingImpara e pratica Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
