GCP - AppEngine Privesc

Impara e pratica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Supporta HackTricks

• Controlla i piani di abbonamento!

• Unisciti al 💬 gruppo Discord o al gruppo telegram o seguici su Twitter 🐦 @hacktricks_live.

• Condividi trucchi di hacking inviando PR ai HackTricks e HackTricks Cloud repository github.

App Engine

Per maggiori informazioni su App Engine controlla:

GCP - App Engine Enum

appengine.applications.get, appengine.instances.get, appengine.instances.list, appengine.operations.get, appengine.operations.list, appengine.services.get, appengine.services.list, appengine.versions.create, appengine.versions.get, appengine.versions.list, cloudbuild.builds.get,iam.serviceAccounts.actAs, resourcemanager.projects.get, storage.objects.create, storage.objects.list

Questi sono i permessi necessari per distribuire un'App usando gcloud cli. Forse i permessi get e list potrebbero essere evitati.

Puoi trovare esempi di codice python su https://github.com/GoogleCloudPlatform/python-docs-samples/tree/main/appengine

Per impostazione predefinita, il nome del servizio App sarà default, e può esserci solo 1 istanza con lo stesso nome. Per cambiarlo e creare una seconda App, in app.yaml, cambia il valore della chiave radice in qualcosa come service: my-second-app

cd python-docs-samples/appengine/flexible/hello_world
gcloud app deploy #Upload and start application inside the folder

Dagli almeno 10-15 minuti, se non funziona chiama deploy another of times e aspetta qualche minuto.

È possibile indicare il Service Account da utilizzare ma per impostazione predefinita viene utilizzato il SA predefinito di App Engine.

L'URL dell'applicazione è qualcosa come https://<proj-name>.oa.r.appspot.com/ o https://<service_name>-dot-<proj-name>.oa.r.appspot.com

Aggiornare i permessi equivalenti

Potresti avere abbastanza permessi per aggiornare un AppEngine ma non per crearne uno nuovo. In tal caso, ecco come potresti aggiornare l'App Engine corrente:

# Find the code of the App Engine in the buckets
gsutil ls

# Download code
mkdir /tmp/appengine2
cd /tmp/appengine2
## In this case it was found in this custom bucket but you could also use the
## buckets generated when the App Engine is created
gsutil cp gs://appengine-lab-1-gcp-labs-4t04m0i6-3a97003354979ef6/labs_appengine_1_premissions_privesc.zip .
unzip labs_appengine_1_premissions_privesc.zip

## Now modify the code..

## If you don't have an app.yaml, create one like:
cat >> app.yaml <<EOF
runtime: python312

entrypoint: gunicorn -b :\$PORT main:app

env_variables:
A_VARIABLE: "value"
EOF

# Deploy the changes
gcloud app deploy

# Update the SA if you need it (and if you have actas permissions)
gcloud app update --service-account=<sa>@$PROJECT_ID.iam.gserviceaccount.com

Se hai già compromesso un AppEngine e hai il permesso appengine.applications.update e actAs sul service account da utilizzare, potresti modificare il service account utilizzato da AppEngine con:

gcloud app update --service-account=<sa>@$PROJECT_ID.iam.gserviceaccount.com

appengine.instances.enableDebug, appengine.instances.get, appengine.instances.list, appengine.operations.get, appengine.services.get, appengine.services.list, appengine.versions.get, appengine.versions.list, compute.projects.get

Con questi permessi, è possibile accedere via ssh nelle istanze di App Engine di tipo flessibile (non standard). Alcuni dei permessi list e get potrebbero non essere realmente necessari.

gcloud app instances ssh --service <app-name> --version <version-id> <ID>

appengine.applications.update, appengine.operations.get

Penso che questo cambi solo il SA di background che Google utilizzerà per configurare le applicazioni, quindi non credo che tu possa abusarne per rubare il service account.

gcloud app update --service-account=<sa_email>

appengine.versions.getFileContents, appengine.versions.update

Non sono sicuro di come utilizzare questi permessi o se sono utili (nota che quando cambi il codice viene creata una nuova versione, quindi non so se puoi semplicemente aggiornare il codice o il ruolo IAM di uno, ma suppongo che dovresti essere in grado di farlo, forse cambiando il codice all'interno del bucket??).

Accesso in scrittura sui bucket

Anche con accesso in scrittura sui bucket dove si trova il codice sorgente NON è stato possibile eseguire codice arbitrario modificando il codice sorgente e il manifest.json. Forse se stai monitorando il bucket e rilevi il momento in cui viene creata una nuova versione e il codice sorgente e il manifest vengono caricati, potrebbe essere possibile cambiarli in modo che la nuova versione utilizzi quelli con backdoor??

Sembra anche che i layer dei container siano memorizzati nel bucket, forse cambiando quelli?

Impara e pratica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Supporta HackTricks

• Controlla i piani di abbonamento!

• Unisciti al 💬 gruppo Discord o al gruppo telegram o seguici su Twitter 🐦 @hacktricks_live.

• Condividi trucchi di hacking inviando PR ai HackTricks e HackTricks Cloud repo di github.