GCP - API Keys Enum

Apprenez et pratiquez le piratage AWS :Formation HackTricks Expert en Équipe Rouge AWS (ARTE) Apprenez et pratiquez le piratage GCP : Formation HackTricks Expert en Équipe Rouge GCP (GRTE)

Soutenez HackTricks

• Consultez les plans d'abonnement!

• Rejoignez le 💬 groupe Discord ou le groupe Telegram ou suivez-nous sur Twitter 🐦 @hacktricks_live.

• Partagez des astuces de piratage en soumettant des PR aux HackTricks et HackTricks Cloud dépôts GitHub.

Informations de base

Dans Google Cloud Platform (GCP), les clés API sont une simple chaîne chiffrée qui identifie une application sans aucun principe. Elles sont utilisées pour accéder aux API Google Cloud qui ne nécessitent pas de contexte utilisateur. Cela signifie qu'elles sont souvent utilisées dans des scénarios où l'application accède à ses propres données plutôt qu'aux données utilisateur.

Restrictions

Vous pouvez appliquer des restrictions aux clés API pour une sécurité renforcée. Par exemple, vous pouvez restreindre la clé à être utilisée uniquement par certaines adresses IP, sites web, applications Android, applications iOS, ou la restreindre à certaines API ou services au sein de GCP.

Énumération

Il est possible de voir les restrictions d'une clé API (y compris la restriction des points de terminaison API GCP) en utilisant la liste des verbes ou la description :

gcloud services api-keys list
gcloud services api-keys describe <key-uuid>
gcloud services api-keys list --show-deleted

Il est possible de récupérer les clés supprimées avant que 30 jours ne se soient écoulés, c'est pourquoi vous pouvez lister les clés supprimées.

Élévation de privilèges et post-exploitation

GCP - Apikeys Privesc

Énumération non authentifiée

GCP - API Keys Unauthenticated Enum

Persistance

GCP - API Keys Persistence

Apprenez et pratiquez le piratage AWS :HackTricks Formation Expert en Équipe Rouge AWS (ARTE) Apprenez et pratiquez le piratage GCP : HackTricks Formation Expert en Équipe Rouge GCP (GRTE)

Soutenez HackTricks

• Consultez les plans d'abonnement!

• Rejoignez le 💬 groupe Discord ou le groupe Telegram ou suivez-nous sur Twitter 🐦 @hacktricks_live.

• Partagez des astuces de piratage en soumettant des PR aux HackTricks et HackTricks Cloud dépôts GitHub.