GCP - API Keys Enum

Impara l'hacking di AWS da zero a esperto con htARTE (HackTricks AWS Red Team Expert)!

Altri modi per supportare HackTricks:

• Se vuoi vedere la tua azienda pubblicizzata su HackTricks o scaricare HackTricks in PDF Controlla i PACCHETTI DI ABBONAMENTO!

• Ottieni il merchandising ufficiale di PEASS & HackTricks

• Scopri The PEASS Family, la nostra collezione di esclusive NFT

• Unisciti al 💬 gruppo Discord o al gruppo Telegram o seguimi su Twitter 🐦 @carlospolopm.

• Condividi i tuoi trucchi di hacking inviando PR a HackTricks e HackTricks Cloud github repos.

Informazioni di base

In Google Cloud Platform (GCP), le chiavi API sono una semplice stringa crittografata che identifica un'applicazione senza alcun principale. Vengono utilizzate per accedere alle API di Google Cloud che non richiedono contesto utente. Ciò significa che vengono spesso utilizzate in scenari in cui l'applicazione accede ai propri dati anziché ai dati dell'utente.

Restrizioni

È possibile applicare restrizioni alle chiavi API per una maggiore sicurezza. Ad esempio, è possibile limitare l'utilizzo della chiave solo a determinati indirizzi IP, siti web, app Android, app iOS o limitarla a determinate API o servizi all'interno di GCP.

Enumerazione

È possibile visualizzare le restrizioni di una chiave API (compresa la restrizione degli endpoint API di GCP) utilizzando l'elenco dei verbi o la descrizione:

gcloud services api-keys list
gcloud services api-keys describe <key-uuid>
gcloud services api-keys list --show-deleted

È possibile recuperare le chiavi eliminate prima che passino 30 giorni, ecco perché è possibile elencare le chiavi eliminate.

Escalatione dei Privilegi e Post Esploitation

pageGCP - Apikeys Privesc

Enumerazione non autenticata

pageGCP - API Keys Unauthenticated Enum

Persistenza

pageGCP - API Keys Persistence

Impara l'hacking di AWS da zero a eroe con htARTE (HackTricks AWS Red Team Expert)!

Altri modi per supportare HackTricks:

• Se vuoi vedere la tua azienda pubblicizzata in HackTricks o scaricare HackTricks in PDF Controlla i PACCHETTI DI ABBONAMENTO!

• Ottieni il merchandising ufficiale di PEASS & HackTricks

• Scopri The PEASS Family, la nostra collezione di esclusive NFT

• Unisciti al 💬 gruppo Discord o al gruppo telegram o seguimi su Twitter 🐦 @carlospolopm.

• Condividi i tuoi trucchi di hacking inviando PR a HackTricks e HackTricks Cloud github repos.