GWS - Persistence
PreviousGWS - Post ExploitationNextGWS - Workspace Sync Attacks (GCPW, GCDS, GPS, Directory Sync with AD & EntraID)
Last updated
Last updated
Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
Wszystkie działania wymienione w tej sekcji, które zmieniają ustawienia, wygenerują powiadomienie o bezpieczeństwie na e-mail oraz powiadomienie push na każdym urządzeniu mobilnym zsynchronizowanym z kontem.
Możesz stworzyć filtry, aby ukryć powiadomienia o bezpieczeństwie od Google
from: (no-reply@accounts.google.com) "Security Alert"
To zapobiegnie dotarciu e-maili o bezpieczeństwie do skrzynki (ale nie zapobiegnie powiadomieniom push na telefonie)
Stwórz adres przekazywania, aby przekazywać wrażliwe informacje (lub wszystko) - potrzebujesz dostępu manualnego.
Stwórz adres przekazywania w https://mail.google.com/mail/u/2/#settings/fwdandpop
Odbierający adres będzie musiał to potwierdzić
Następnie ustaw, aby przekazywać wszystkie e-maile, zachowując kopię (pamiętaj, aby kliknąć zapisz zmiany):
Możliwe jest również stworzenie filtrów i przekazywanie tylko konkretnych e-maili na inny adres e-mail.
Jeśli udało ci się przejąć sesję użytkownika Google i użytkownik miał 2FA, możesz wygenerować hasło aplikacji (śledź link, aby zobaczyć kroki). Zauważ, że Hasła aplikacji nie są już zalecane przez Google i są unieważniane, gdy użytkownik zmienia hasło do swojego konta Google.
Nawet jeśli masz otwartą sesję, będziesz musiał znać hasło użytkownika, aby stworzyć hasło aplikacji.
Hasła aplikacji mogą być używane tylko z kontami, które mają włączoną Weryfikację dwuetapową.
Możliwe jest również wyłączenie 2-FA lub zarejestrowanie nowego urządzenia (lub numeru telefonu) na tej stronie https://myaccount.google.com/security. Możliwe jest również generowanie kluczy dostępu (dodanie własnego urządzenia), zmiana hasła, dodawanie numerów telefonów do weryfikacji i odzyskiwania, zmiana e-maila do odzyskiwania oraz zmiana pytań zabezpieczających).
Aby zapobiec powiadomieniom push o bezpieczeństwie docierającym do telefonu użytkownika, możesz wylogować jego smartfona (chociaż byłoby to dziwne), ponieważ nie możesz ponownie zalogować go stąd.
Możliwe jest również zlokalizowanie urządzenia.
Nawet jeśli masz otwartą sesję, będziesz musiał znać hasło użytkownika, aby zmienić te ustawienia.
Jeśli przejąłeś konto użytkownika, możesz po prostu zaakceptować przyznanie wszystkich możliwych uprawnień aplikacji OAuth. Jedynym problemem jest to, że Workspace może być skonfigurowany tak, aby zabraniać nieprzeglądanych aplikacji OAuth zewnętrznych i/lub wewnętrznych. Jest dość powszechne, że organizacje Workspace domyślnie nie ufają zewnętrznym aplikacjom OAuth, ale ufają wewnętrznym, więc jeśli masz wystarczające uprawnienia, aby wygenerować nową aplikację OAuth wewnątrz organizacji, a aplikacje zewnętrzne są zabronione, wygeneruj ją i użyj tej nowej wewnętrznej aplikacji OAuth, aby utrzymać dostęp.
Sprawdź następującą stronę, aby uzyskać więcej informacji o aplikacjach OAuth:
Możesz po prostu delegować konto do innego konta kontrolowanego przez atakującego (jeśli masz na to pozwolenie). W organizacjach Workspace ta opcja musi być włączona. Może być wyłączona dla wszystkich, włączona dla niektórych użytkowników/grup lub dla wszystkich (zwykle jest włączona tylko dla niektórych użytkowników/grup lub całkowicie wyłączona).
Jeśli masz sesję w koncie Google ofiary, możesz przeglądać Sklep Play i być może będziesz w stanie zainstalować złośliwe oprogramowanie, które już przesłałeś do sklepu bezpośrednio na telefonie, aby utrzymać dostęp i uzyskać dostęp do telefonu ofiary.
Możesz stworzyć wyzwalacze oparte na czasie w Skryptach Aplikacji, więc jeśli Skrypt Aplikacji zostanie zaakceptowany przez użytkownika, zostanie wyzwolony nawet bez dostępu użytkownika. Aby uzyskać więcej informacji na ten temat, sprawdź:
https://www.youtube-nocookie.com/embed/6AsVUS79gLw - Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic
https://www.youtube.com/watch?v=KTVHLolz6cE - Mike Felch i Beau Bullock - OK Google, jak mogę Red Team GSuite?
Zaloguj się używając konta administratora, a nie swojego aktualnego konta CarlosPolop@gmail.com 2. W konsoli administracyjnej przejdź do Menu AplikacjeGoogle WorkspaceGmailUstawienia użytkownika. 3. Aby zastosować ustawienie dla wszystkich, pozostaw wybraną górną jednostkę organizacyjną. W przeciwnym razie wybierz podrzędną jednostkę organizacyjną. 4. Kliknij Delegacja poczty. 5. Zaznacz pole Zezwól użytkownikom na delegowanie dostępu do swojej skrzynki pocztowej innym użytkownikom w domenie. 6. (Opcjonalnie) Aby pozwolić użytkownikom określić, jakie informacje o nadawcy są zawarte w delegowanych wiadomościach wysyłanych z ich konta, zaznacz pole Zezwól użytkownikom na dostosowanie tego ustawienia. 7. Wybierz opcję dla domyślnych informacji o nadawcy, które są zawarte w wiadomościach wysyłanych przez delegatów:
W prawym górnym rogu kliknij Ustawienia Zobacz wszystkie ustawienia.
6. Kliknij Następny krok Wyślij e-mail, aby przyznać dostęp.
Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Ucz się i ćwicz Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
