GCP - Source Repositories Enum
Grundlegende Informationen
Google Cloud Source Repositories ist ein voll ausgestatteter, skalierbarer, privater Git-Repository-Dienst. Es ist darauf ausgelegt, Ihren Quellcode in einer vollständig verwalteten Umgebung zu hosten, nahtlos mit anderen GCP-Tools und -Diensten zu integrieren. Es bietet einen kollaborativen und sicheren Ort für Teams, um ihren Code zu speichern, zu verwalten und zu verfolgen.
Zu den wichtigsten Funktionen von Cloud Source Repositories gehören:
Vollständig verwaltetes Git-Hosting: Bietet die vertraute Funktionalität von Git, sodass Sie reguläre Git-Befehle und Workflows verwenden können.
Integration mit GCP-Diensten: Integriert sich mit anderen GCP-Diensten wie Cloud Build, Pub/Sub und App Engine für eine lückenlose Rückverfolgbarkeit vom Code bis zur Bereitstellung.
Private Repositories: Stellt sicher, dass Ihr Code sicher und privat gespeichert wird. Sie können den Zugriff mithilfe von Cloud Identity and Access Management (IAM)-Rollen steuern.
Quellcodeanalyse: Arbeitet mit anderen GCP-Tools zusammen, um eine automatisierte Analyse Ihres Quellcodes bereitzustellen, die potenzielle Probleme wie Fehler, Sicherheitslücken oder schlechte Codierungspraktiken identifiziert.
Kollaborationswerkzeuge: Unterstützt kollaboratives Codieren mit Tools wie Merge-Anfragen, Kommentaren und Reviews.
Spiegelungsunterstützung: Ermöglicht es Ihnen, Cloud Source Repositories mit Repositories auf GitHub oder Bitbucket zu verbinden, automatische Synchronisierung zu ermöglichen und eine einheitliche Ansicht aller Ihrer Repositories bereitzustellen.
OffSec-Informationen
Die Konfiguration der Quellrepositories in einem Projekt wird einen Service Account haben, der zum Veröffentlichen von Cloud Pub/Sub-Nachrichten verwendet wird. Der Standardaccount, der verwendet wird, ist der Compute SA. Es ist jedoch meiner Meinung nach nicht möglich, sein Token zu stehlen aus den Quellrepositories, da es im Hintergrund ausgeführt wird.
Um den Code innerhalb der GCP Cloud Source Repositories-Webkonsole (https://source.cloud.google.com/) zu sehen, muss der Code standardmäßig im Master-Zweig sein.
Sie können auch ein Spiegel-Cloud-Repository erstellen, das auf ein Repository von Github oder Bitbucket zeigt (Zugriff auf diese Plattformen gewährt).
Es ist möglich, von innerhalb von GCP aus zu codieren und zu debuggen.
Standardmäßig verhindern Source Repositories, dass private Schlüssel in Commits gepusht werden, aber dies kann deaktiviert werden.
In Cloud Shell öffnen
Es ist möglich, das Repository in Cloud Shell zu öffnen, es wird eine Aufforderung wie diese erscheinen:
Dies ermöglicht es Ihnen, in Cloud Shell zu codieren und zu debuggen (was zu einer Kompromittierung von Cloudshell führen könnte).
Enumeration
Privilege Escalation & Post Exploitation
GCP - Sourcerepos PrivescNicht authentifizierte Enumeration
GCP - Source Repositories Unauthenticated EnumLast updated