GWS - Persistence
PreviousGWS - Post ExploitationNextGWS - Workspace Sync Attacks (GCPW, GCDS, GPS, Directory Sync with AD & EntraID)
Last updated
Last updated
AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE) GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE)
이 섹션에서 언급된 모든 설정 변경 작업은 계정과 동기화된 모든 모바일로 이메일 및 푸시 알림에 대한 보안 경고를 생성합니다.
Google의 보안 알림을 숨기기 위한 필터를 생성할 수 있습니다.
from: (no-reply@accounts.google.com) "Security Alert"
이는 보안 이메일이 이메일에 도달하는 것을 방지하지만 (모바일로의 푸시 알림은 방지하지 않습니다)
(지침은 여기에서 확인하세요)
Gmail을 엽니다.
상단의 검색 상자에서 검색 옵션 표시를 클릭합니다 
검색 기준을 입력합니다. 검색이 제대로 작동했는지 확인하려면 검색을 클릭하여 어떤 이메일이 표시되는지 확인합니다.
검색 창 하단에서 필터 만들기를 클릭합니다.
필터가 수행할 작업을 선택합니다.
필터 만들기를 클릭합니다.
현재 필터를 확인하려면 https://mail.google.com/mail/u/0/#settings/filters에서 삭제할 수 있습니다.
민감한 정보를 전달하기 위한 전달 주소를 생성합니다 (또는 모든 것을) - 수동 접근이 필요합니다.
https://mail.google.com/mail/u/2/#settings/fwdandpop에서 전달 주소를 생성합니다.
수신 주소는 이를 확인해야 합니다.
그런 다음 모든 이메일을 전달하면서 복사본을 유지하도록 설정합니다 (변경 사항 저장 클릭하는 것을 잊지 마세요):
특정 이메일만 다른 이메일 주소로 전달하도록 필터를 생성하는 것도 가능합니다.
사용자 세션을 타협하고 사용자가 2FA를 사용하고 있다면, 앱 비밀번호를 생성할 수 있습니다 (단계는 링크를 따라 확인하세요). 앱 비밀번호는 더 이상 Google에서 권장하지 않으며 사용자가 Google 계정 비밀번호를 변경하면 취소됩니다.
열려 있는 세션이 있더라도 앱 비밀번호를 생성하려면 사용자의 비밀번호를 알아야 합니다.
앱 비밀번호는 2단계 인증이 활성화된 계정에서만 사용할 수 있습니다.
이 페이지 https://myaccount.google.com/security에서 2-FA를 끄거나 새로운 장치 (또는 전화번호)를 등록할 수 있습니다. 비밀번호를 변경하고, 확인 전화번호 및 복구를 위한 모바일 번호를 추가하고, 복구 이메일을 변경하고, 보안 질문을 변경하는 것도 가능합니다.
사용자의 전화로 보안 푸시 알림이 도달하지 않도록 하려면 사용자의 스마트폰에서 로그아웃할 수 있습니다 (비정상적일 수 있지만) 여기서 다시 로그인할 수는 없습니다.
장치를 찾는 것도 가능합니다.
열려 있는 세션이 있더라도 이러한 설정을 변경하려면 사용자의 비밀번호를 알아야 합니다.
사용자의 계정을 타협한 경우, OAuth 앱에 모든 가능한 권한을 부여하는 것을 수락할 수 있습니다. 단, Workspace는 검토되지 않은 외부 및/또는 내부 OAuth 앱을 허용하지 않도록 설정할 수 있습니다. Workspace 조직에서는 기본적으로 외부 OAuth 앱을 신뢰하지 않지만 내부 앱은 신뢰하는 경우가 많으므로, 조직 내에서 새로운 OAuth 애플리케이션을 생성할 수 있는 충분한 권한이 있다면 생성하고 그 새로운 내부 OAuth 앱을 사용하여 지속성을 유지하세요.
OAuth 앱에 대한 자세한 정보는 다음 페이지를 확인하세요:
GWS - Google Platforms Phishing계정을 공격자가 제어하는 다른 계정으로 위임할 수 있습니다 (이렇게 할 수 있는 경우). Workspace 조직에서는 이 옵션이 활성화되어야 합니다. 모든 사용자에게 비활성화되거나 일부 사용자/그룹에서 활성화되거나 모든 사용자에게 활성화될 수 있습니다 (일반적으로 일부 사용자/그룹에 대해서만 활성화되거나 완전히 비활성화됩니다).
피해자의 Google 계정 내에서 세션이 있는 경우, Play 스토어로 이동하여 이미 업로드한 악성코드를 직접 전화에 설치하여 지속성을 유지하고 피해자의 전화에 접근할 수 있습니다.
앱 스크립트에서 시간 기반 트리거를 생성할 수 있으므로, 사용자가 앱 스크립트를 수락하면 사용자가 액세스하지 않아도 트리거됩니다. 이를 수행하는 방법에 대한 자세한 정보는 다음을 확인하세요:
GWS - App Scriptshttps://www.youtube-nocookie.com/embed/6AsVUS79gLw - Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic
https://www.youtube.com/watch?v=KTVHLolz6cE - Mike Felch and Beau Bullock - OK Google, How do I Red Team GSuite?
관리자 계정을 사용하여 로그인하세요. 현재 계정인 CarlosPolop@gmail.com이 아닙니다. 2. 관리 콘솔에서 메뉴로 이동합니다 앱Google WorkspaceGmail사용자 설정으로 이동합니다. 3. 모든 사용자에게 설정을 적용하려면 상위 조직 단위를 선택한 상태로 둡니다. 그렇지 않으면 하위 조직 단위를 선택합니다. 4. 메일 위임을 클릭합니다. 5. 사용자가 도메인의 다른 사용자에게 자신의 메일박스에 대한 액세스를 위임할 수 있도록 허용 상자를 체크합니다. 6. (선택 사항) 사용자가 자신의 계정에서 전송된 위임된 메시지에 포함된 발신자 정보를 지정할 수 있도록 하려면 사용자가 이 설정을 사용자 지정할 수 있도록 허용 상자를 체크합니다. 7. 위임자가 보낸 메시지에 포함된 기본 발신자 정보에 대한 옵션을 선택합니다:
오른쪽 상단에서 설정을 클릭합니다 모든 설정 보기를 클릭합니다.
다음 단계를 클릭합니다 액세스를 부여하기 위한 이메일 보내기를 클릭합니다.
AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE) GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE)
