GCP - App Engine Post Exploitation

Aprende hacking en AWS desde cero hasta experto con htARTE (Experto en Equipo Rojo de AWS de HackTricks)!

Otras formas de apoyar a HackTricks:

• Si deseas ver tu empresa anunciada en HackTricks o descargar HackTricks en PDF Consulta los PLANES DE SUSCRIPCIÓN!

• Obtén la merchandising oficial de PEASS & HackTricks

• Descubre La Familia PEASS, nuestra colección exclusiva de NFTs

• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.

• Comparte tus trucos de hacking enviando PRs a los HackTricks y HackTricks Cloud repositorios de github.

App Engine

Para obtener información sobre App Engine, consulta:

pageGCP - App Engine Enum

appengine.memcache.addKey | appengine.memcache.list | appengine.memcache.getKey | appengine.memcache.flush

Con estos permisos es posible:

• Agregar una clave

• Listar claves

• Obtener una clave

• Eliminar

Sin embargo, no pude encontrar ninguna forma de acceder a esta información desde la línea de comandos, solo desde la consola web donde necesitas conocer el tipo de clave y el nombre de la clave, o desde la aplicación en ejecución de app engine.

¡Si conoces formas más sencillas de usar estos permisos, envía un Pull Request!

logging.views.access

Con este permiso es posible ver los registros de la App:

gcloud app logs tail -s <name>

Leer Código Fuente

El código fuente de todas las versiones y servicios se almacena en el bucket con el nombre staging.<proj-id>.appspot.com. Si tienes acceso de escritura sobre él, puedes leer el código fuente y buscar vulnerabilidades e información sensible.

Modificar Código Fuente

Modificar el código fuente para robar credenciales si se están enviando o realizar un ataque de desfiguración web.

Aprende hacking en AWS de cero a héroe con htARTE (HackTricks AWS Red Team Expert)!

Otras formas de apoyar a HackTricks:

• Si deseas ver tu empresa anunciada en HackTricks o descargar HackTricks en PDF Consulta los PLANES DE SUSCRIPCIÓN!

• Obtén el oficial PEASS & HackTricks swag

• Descubre The PEASS Family, nuestra colección exclusiva de NFTs

• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.

• Comparte tus trucos de hacking enviando PRs a los repositorios de HackTricks y HackTricks Cloud.