GWS - Workspace Pentesting

Impara e pratica l'Hacking su AWS:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica l'Hacking su GCP: HackTricks Training GCP Red Team Expert (GRTE)

Sostieni HackTricks

• Controlla i piani di abbonamento!

• Unisciti al 💬 gruppo Discord o al gruppo telegram o seguici su Twitter 🐦 @hacktricks_live.

• Condividi trucchi di hacking inviando PR a HackTricks e HackTricks Cloud repos di Github.

Punti di Accesso

Piattaforme Google e Phishing di App OAuth

Verifica come potresti utilizzare diverse piattaforme Google come Drive, Chat, Groups... per inviare alla vittima un link di phishing e come eseguire un Phishing di OAuth di Google in:

GWS - Google Platforms Phishing

Password Spraying

Per testare le password con tutte le email trovate (o generate in base a un modello di nome email che potresti aver scoperto) potresti utilizzare uno strumento come https://github.com/ustayready/CredKing (anche se sembra non mantenuto) che utilizzerà le AWS lambdas per cambiare l'indirizzo IP.

Post-Esploitation

Se hai compromesso alcune credenziali o la sessione dell'utente, puoi eseguire diverse azioni per accedere alle potenziali informazioni sensibili dell'utente e provare a scalare i privilegi:

GWS - Post Exploitation

GWS <-->GCP Pivoting

GCP <--> Workspace Pivoting

Persistenza

Se hai compromesso alcune credenziali o la sessione dell'utente, controlla queste opzioni per mantenere la persistenza su di esse:

GWS - Persistence

Recupero Account Compromessi

• Disconnettersi da tutte le sessioni

• Cambiare la password dell'utente

• Generare nuovi codici di backup 2FA

• Rimuovere le password delle app

• Rimuovere le app OAuth

• Rimuovere i dispositivi 2FA

• Rimuovere i reindirizzamenti delle email

• Rimuovere i filtri delle email

• Rimuovere email di recupero/telefoni

• Rimuovere smartphone sincronizzati dannosi

• Rimuovere app Android dannose

• Rimuovere deleghe di account dannose

Riferimenti

• https://www.youtube-nocookie.com/embed/6AsVUS79gLw - Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic

• https://www.youtube.com/watch?v=KTVHLolz6cE - Mike Felch e Beau Bullock - OK Google, How do I Red Team GSuite?

Impara e pratica l'Hacking su AWS:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica l'Hacking su GCP: HackTricks Training GCP Red Team Expert (GRTE)

Sostieni HackTricks

• Controlla i piani di abbonamento!

• Unisciti al 💬 gruppo Discord o al gruppo telegram o seguici su Twitter 🐦 @hacktricks_live.

• Condividi trucchi di hacking inviando PR a HackTricks e HackTricks Cloud repos di Github.