GCP - App Engine Post Exploitation
App Engine
App Engine
Für Informationen über App Engine siehe:
GCP - App Engine Enumappengine.memcache.addKey
| appengine.memcache.list
| appengine.memcache.getKey
| appengine.memcache.flush
appengine.memcache.addKey
| appengine.memcache.list
| appengine.memcache.getKey
| appengine.memcache.flush
Mit diesen Berechtigungen ist es möglich:
Einen Schlüssel hinzuzufügen
Schlüssel aufzulisten
Einen Schlüssel abzurufen
Zu löschen
Ich konnte jedoch keine Möglichkeit finden, auf diese Informationen über die CLI zuzugreifen, nur über die Webkonsole, wo man den Schlüsseltyp und den Schlüsselnamen kennen muss, oder von der laufenden App Engine App.
Wenn du einfachere Wege kennst, diese Berechtigungen zu nutzen, sende einen Pull Request!
logging.views.access
logging.views.access
Mit dieser Berechtigung ist es möglich, die Logs der App zu sehen:
Quellcode lesen
Der Quellcode aller Versionen und Dienste wird im Bucket mit dem Namen staging.<proj-id>.appspot.com
gespeichert. Wenn du Schreibzugriff darauf hast, kannst du den Quellcode lesen und nach Schwachstellen und sensiblen Informationen suchen.
Quellcode ändern
Ändere den Quellcode, um Anmeldeinformationen zu stehlen, wenn sie gesendet werden, oder führe einen Defacement-Webangriff durch.
Last updated