GWS - Workspace Pentesting
Last updated
Last updated
Aprenda e pratique Hacking AWS: Aprenda e pratique Hacking GCP:
Verifique como você poderia usar diferentes plataformas Google, como Drive, Chat, Grupos... para enviar um link de phishing à vítima e como realizar um Phishing OAuth do Google em:
Para testar senhas com todos os e-mails que você encontrou (ou que você gerou com base em um padrão de nome de e-mail que você pode ter descoberto), você pode usar uma ferramenta como (embora pareça não estar mantida), que usará lambdas da AWS para mudar o endereço IP.
Se você comprometeu algumas credenciais ou a sessão do usuário, pode realizar várias ações para acessar informações potencialmente sensíveis do usuário e tentar escalar privilégios:
Leia mais sobre as diferentes técnicas para pivotar entre GWS e GCP em:
GCPW (Google Credential Provider for Windows): Este é o login único que o Google Workspaces fornece para que os usuários possam fazer login em seus PCs com Windows usando suas credenciais do Workspace. Além disso, isso armazenará tokens para acessar o Google Workspace em alguns lugares no PC.
GCDS (Google Cloud Directory Sync): Esta é uma ferramenta que pode ser usada para sincronizar seus usuários e grupos do Active Directory com seu Workspace. A ferramenta requer as credenciais de um superusuário do Workspace e de um usuário privilegiado do AD. Portanto, pode ser possível encontrá-la dentro de um servidor de domínio que estaria sincronizando usuários de tempos em tempos.
Se você comprometeu algumas credenciais ou a sessão do usuário, verifique estas opções para manter a persistência sobre isso:
Sair de todas as sessões
Alterar a senha do usuário
Gerar novos códigos de backup 2FA
Remover senhas de aplicativos
Remover aplicativos OAuth
Remover dispositivos 2FA
Remover encaminhadores de e-mail
Remover filtros de e-mail
Remover e-mails/telefones de recuperação
Remover smartphones sincronizados maliciosos
Remover aplicativos Android ruins
Remover delegações de conta ruins
Admin Directory Sync: Permite que você sincronize usuários do AD e EntraID em um processo sem servidor a partir de .
- Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic
- Mike Felch e Beau Bullock - OK Google, Como faço para Red Team GSuite?
Aprenda e pratique Hacking AWS: Aprenda e pratique Hacking GCP:
Confira os !
Junte-se ao 💬 ou ao ou siga-nos no Twitter 🐦 .
Compartilhe truques de hacking enviando PRs para os repositórios do e .
