GWS - Post Exploitation
Google Groups 权限提升
在 Workspace 中,默认情况下,组可以被组织中的任何成员自由访问。 Workspace 还允许对组(甚至是 GCP 权限)进行授权,因此如果组可以加入并且拥有额外权限,攻击者可能会滥用该路径来提升权限。
您可能需要访问控制台以加入允许组织中任何人加入的组。在 https://groups.google.com/all-groups 中检查组信息。
访问组邮件信息
如果您成功入侵了谷歌用户会话,您可以从 https://groups.google.com/all-groups 查看发送给用户所属邮件组的邮件历史,您可能会发现凭证或其他敏感数据。
GCP <--> GWS 枢纽
GCP <--> Workspace PivotingTakeout - 下载 Google 对账户的所有数据
如果您在受害者的谷歌账户内有一个会话,您可以从 https://takeout.google.com 下载谷歌保存的有关该账户的所有数据。
Vault - 下载用户的所有 Workspace 数据
如果组织启用了Google Vault,您可能可以访问 https://vault.google.com 并下载所有信息。
联系人下载
从 https://contacts.google.com 您可以下载用户的所有联系人。
Cloudsearch
在 https://cloudsearch.google.com/ 中,您可以搜索用户可以访问的所有 Workspace 内容(邮件、驱动器、站点...)。非常适合快速查找敏感信息。
Google Chat
在 https://mail.google.com/chat 中,您可以访问 Google Chat,您可能会在对话中找到敏感信息(如果有的话)。
Google Drive 挖掘
在共享文档时,您可以逐个指定可以访问它的人员,也可以通过生成链接将其与整个公司(或某些特定组)共享。
在共享文档时,在高级设置中,您还可以允许人们搜索此文件(默认情况下此功能已禁用)。但是,重要的是要注意,一旦用户查看了文档,他们就可以通过搜索找到它。
为了简化起见,大多数人会生成并共享链接,而不是逐个添加可以访问文档的人员。
一些查找所有文档的建议方法:
在内部聊天、论坛中搜索...
爬取已知文档,搜索对其他文档的引用。您可以使用 PaperChaser中的 App Script 进行此操作。
保留笔记
在 https://keep.google.com/ 中,您可以访问用户的笔记,敏感信息可能保存在这里。
修改应用脚本
在 https://script.google.com/ 中,您可以找到用户的应用脚本。
管理 Workspace
在 https://admin.google.com/,如果您有足够的权限,您可以修改整个组织的 Workspace 设置。
您还可以通过在 https://admin.google.com/ac/emaillogsearch 中搜索所有用户的发票来查找电子邮件。
参考资料
https://www.youtube-nocookie.com/embed/6AsVUS79gLw - Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic
https://www.youtube.com/watch?v=KTVHLolz6cE - Mike Felch and Beau Bullock - OK Google, How do I Red Team GSuite?
Last updated