GWS - Persistence
PreviousGWS - Post ExploitationNextGWS - Workspace Sync Attacks (GCPW, GCDS, GPS, Directory Sync with AD & EntraID)
Last updated
Last updated
Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Sve radnje navedene u ovom odeljku koje menjaju postavke generisaće bezbednosno obaveštenje na email i čak push obaveštenje na bilo koji mobilni uređaj sinhronizovan sa nalogom.
Možete kreirati filtre za skrivanje bezbednosnih obaveštenja od Google-a
from: (no-reply@accounts.google.com) "Security Alert"
Ovo će sprečiti bezbednosne emailove da stignu na email (ali neće sprečiti push obaveštenja na mobilni)
Kreirajte adresu za prosleđivanje kako biste prosledili osetljive informacije (ili sve) - Potrebno je ručno pristupiti.
Kreirajte adresu za prosleđivanje na https://mail.google.com/mail/u/2/#settings/fwdandpop
Primalac će morati da potvrdi ovo
Zatim, postavite da prosledite sve emailove dok zadržavate kopiju (zapamtite da kliknete na sačuvaj promene):
Takođe je moguće kreirati filtre i proslediti samo određene emailove na drugu email adresu.
Ako ste uspeli da kompromitujete sesiju google korisnika i korisnik je imao 2FA, možete generisati app lozinku (pratite link da vidite korake). Imajte na umu da App lozinke više nisu preporučene od strane Google-a i biće opozvane kada korisnik promeni lozinku svog Google naloga.
Čak i ako imate otvorenu sesiju, moraćete da znate lozinku korisnika da biste kreirali app lozinku.
App lozinke se mogu koristiti samo sa nalozima koji imaju uključenu 2-Step Verification.
Takođe je moguće isključiti 2-FA ili registrovati novi uređaj (ili broj telefona) na ovoj stranici https://myaccount.google.com/security. Takođe je moguće generisati ključeve (dodati svoj uređaj), promeniti lozinku, dodati mobilne brojeve za verifikacione telefone i oporavak, promeniti email za oporavak i promeniti bezbednosna pitanja).
Da biste sprečili bezbednosna push obaveštenja da stignu na telefon korisnika, mogli biste izlogovati njegov pametan telefon (iako bi to bilo čudno) jer ne možete ponovo da ga prijavite odavde.
Takođe je moguće locirati uređaj.
Čak i ako imate otvorenu sesiju, moraćete da znate lozinku korisnika da biste promenili ove postavke.
Ako ste kompromitovali nalog korisnika, možete jednostavno prihvatiti da dodelite sve moguće dozvole OAuth aplikaciji. Jedini problem je što Workspace može biti podešen da onemogući neproverene spoljne i/ili interne OAuth aplikacije. Prilično je uobičajeno da Workspace organizacije po defaultu ne veruju spoljnim OAuth aplikacijama, ali veruju internim, tako da ako imate dovoljno dozvola da generišete novu OAuth aplikaciju unutar organizacije i spoljne aplikacije su onemogućene, generišite je i koristite tu novu internu OAuth aplikaciju da održite persistenciju.
Proverite sledeću stranicu za više informacija o OAuth aplikacijama:
Možete jednostavno delegirati nalog na drugi nalog koji kontroliše napadač (ako vam je to dozvoljeno). U Workspace organizacijama ova opcija mora biti omogućena. Može biti onemogućena za sve, omogućena za neke korisnike/grupe ili za sve (obično je samo omogućena za neke korisnike/grupe ili potpuno onemogućena).
Ako imate sesiju unutar google naloga žrtve, možete pretraživati Play Store i možda ćete moći da instalirate malver koji ste već otpremili u prodavnicu direktno na telefon kako biste održali persistenciju i pristupili telefonu žrtve.
Možete kreirati okidače zasnovane na vremenu u App skriptama, tako da ako je App skripta prihvaćena od strane korisnika, biće okidana čak i bez pristupa korisnika. Za više informacija o tome kako to učiniti, proverite:
https://www.youtube-nocookie.com/embed/6AsVUS79gLw - Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic
https://www.youtube.com/watch?v=KTVHLolz6cE - Mike Felch i Beau Bullock - OK Google, Kako da Red Team GSuite?
Prijavite se koristeći administratorski nalog, a ne vaš trenutni nalog CarlosPolop@gmail.com 2. U Admin konzoli, idite na Meni AplikacijeGoogle WorkspaceGmailPodešavanja korisnika. 3. Da biste primenili postavku za sve, ostavite izabranu gornju organizacionu jedinicu. Inače, izaberite pod organizacionu jedinicu. 4. Kliknite na Delegacija pošte. 5. Proverite Dozvolite korisnicima da delegiraju pristup svojoj pošti drugim korisnicima u domenu kutiju. 6. (Opcionalno) Da biste dozvolili korisnicima da odrede koje informacije o pošiljaocu su uključene u delegirane poruke poslate sa njihovog naloga, proverite Dozvolite korisnicima da prilagode ovu postavku kutiju. 7. Izaberite opciju za podrazumevane informacije o pošiljaocu koje su uključene u poruke koje šalju delegati:
U gornjem desnom uglu, kliknite na Podešavanja Pogledajte sve postavke.
6. Kliknite na Sledeći korak Pošaljite email da dodelite pristup.
Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
