GCP - API Keys Enum

शून्य से नायक तक AWS हैकिंग सीखें htARTE (HackTricks AWS रेड टीम विशेषज्ञ) के साथ!

HackTricks का समर्थन करने के अन्य तरीके:

• यदि आप चाहते हैं कि आपकी कंपनी का विज्ञापन HackTricks में दिखाई दे या HackTricks को PDF में डाउनलोड करें, तो सदस्यता योजनाओं की जाँच करें!

• आधिकारिक PEASS & HackTricks स्वैग प्राप्त करें

• The PEASS Family की खोज करें, हमारा विशेष NFTs संग्रह

• 💬 Discord समूह में शामिल हों या telegram समूह में या Twitter पर मुझे 🐦 @carlospolopm का अनुसरण करें.

• HackTricks के github repos और HackTricks Cloud में PRs सबमिट करके अपनी हैकिंग तरकीबें साझा करें.

मूल जानकारी

Google Cloud Platform (GCP) में, API कुंजियाँ एक सरल एन्क्रिप्टेड स्ट्रिंग होती हैं जो किसी एप्लिकेशन की पहचान किसी भी प्रिंसिपल के बिना करती हैं. वे Google Cloud APIs तक पहुँचने के लिए इस्तेमाल की जाती हैं जिन्हें उपयोगकर्ता संदर्भ की आवश्यकता नहीं होती. इसका मतलब है कि वे अक्सर उन परिदृश्यों में इस्तेमाल किए जाते हैं जहाँ एप्लिकेशन उपयोगकर्ता के डेटा के बजाय अपने डेटा तक पहुँच रहा होता है.

प्रतिबंध

आप API कुंजियों पर प्रतिबंध लगा सकते हैं बेहतर सुरक्षा के लिए. उदाहरण के लिए, आप कुंजी को केवल कुछ IP पतों, वेबसाइटों, एंड्रॉइड एप्स, iOS एप्स द्वारा ही इस्तेमाल किए जाने के लिए प्रतिबंधित कर सकते हैं, या इसे GCP के भीतर कुछ APIs या सेवाओं तक ही सीमित कर सकते हैं.

सूचीकरण

यह संभव है कि API कुंजी के प्रतिबंध को देखा जा सके (GCP API एंडपॉइंट्स प्रतिबंध सहित) list या describe शब्दों का उपयोग करके:

gcloud services api-keys list
gcloud services api-keys describe <key-uuid>
gcloud services api-keys list --show-deleted

30 दिनों से पहले हटाए गए कुंजियों को पुनः प्राप्त करना संभव है, इसीलिए आप हटाए गए कुंजियों की सूची बना सकते हैं।

विशेषाधिकार वृद्धि और पोस्ट एक्सप्लॉइटेशन

pageGCP - Apikeys Privesc

अप्रमाणित Enum

pageGCP - API Keys Unauthenticated Enum

पर्सिस्टेंस

pageGCP - API Keys Persistence

htARTE (HackTricks AWS Red Team Expert) के साथ शून्य से नायक तक AWS हैकिंग सीखें

HackTricks का समर्थन करने के अन्य तरीके:

• यदि आप चाहते हैं कि आपकी कंपनी का विज्ञापन HackTricks में दिखाई दे या HackTricks को PDF में डाउनलोड करें, तो सब्सक्रिप्शन प्लान्स देखें!

• आधिकारिक PEASS & HackTricks स्वैग प्राप्त करें

• The PEASS Family की खोज करें, हमारा विशेष NFTs संग्रह

• 💬 Discord group में शामिल हों या telegram group में शामिल हों या मुझे Twitter 🐦 पर फॉलो करें @carlospolopm.

• HackTricks के github repos और HackTricks Cloud में PRs सबमिट करके अपनी हैकिंग ट्रिक्स साझा करें।