GCP - API Keys Enum

Erlernen Sie AWS-Hacking von Grund auf mit htARTE (HackTricks AWS Red Team Expert)!

Andere Möglichkeiten, HackTricks zu unterstützen:

• Wenn Sie Ihr Unternehmen in HackTricks beworben sehen möchten oder HackTricks im PDF-Format herunterladen möchten, überprüfen Sie die ABONNEMENTPLÄNE!

• Holen Sie sich das offizielle PEASS & HackTricks-Merch

• Entdecken Sie The PEASS Family, unsere Sammlung exklusiver NFTs

• Treten Sie der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folgen Sie mir auf Twitter 🐦 @carlospolopm.

• Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die HackTricks und HackTricks Cloud Github-Repositories einreichen.

Grundlegende Informationen

In der Google Cloud Platform (GCP) sind API-Schlüssel eine einfache verschlüsselte Zeichenfolge, die eine Anwendung ohne jeglichen Haupt identifiziert. Sie werden verwendet, um auf Google Cloud APIs zuzugreifen, die keinen Benutzerkontext erfordern. Dies bedeutet, dass sie häufig in Szenarien verwendet werden, in denen die Anwendung auf ihre eigenen Daten und nicht auf Benutzerdaten zugreift.

Einschränkungen

Sie können Einschränkungen für API-Schlüssel zur Verbesserung der Sicherheit anwenden. Beispielsweise können Sie den Schlüssel darauf beschränken, dass er nur von bestimmten IP-Adressen, Websites, Android-Apps, iOS-Apps verwendet wird oder ihn auf bestimmte APIs oder Dienste innerhalb von GCP beschränken.

Enumerierung

Es ist möglich, die Einschränkung eines API-Schlüssels (einschließlich der Einschränkung von GCP-API-Endpunkten) mithilfe der Verben "list" oder "describe" zu sehen:

gcloud services api-keys list
gcloud services api-keys describe <key-uuid>
gcloud services api-keys list --show-deleted

Es ist möglich, gelöschte Schlüssel innerhalb von 30 Tagen wiederherzustellen, daher können gelöschte Schlüssel aufgelistet werden.

Privilege Escalation & Post Exploitation

pageGCP - Apikeys Privesc

Unauthenticated Enum

pageGCP - API Keys Unauthenticated Enum

Persistence

pageGCP - API Keys Persistence

Erlernen Sie AWS-Hacking von Grund auf mit htARTE (HackTricks AWS Red Team Expert)!

Andere Möglichkeiten, HackTricks zu unterstützen:

• Wenn Sie Ihr Unternehmen in HackTricks beworben sehen möchten oder HackTricks im PDF-Format herunterladen möchten, überprüfen Sie die ABONNEMENTPLÄNE!

• Holen Sie sich das offizielle PEASS & HackTricks-Merch

• Entdecken Sie The PEASS Family, unsere Sammlung exklusiver NFTs

• Treten Sie der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folgen Sie mir auf Twitter 🐦 @carlospolopm.

• Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die HackTricks und HackTricks Cloud GitHub-Repositorys einreichen.